Cisco Talos analysierte einen Windows-Infostealer namens VOLTA-AUTODOXER, der gestohlene Daten nach der Sammlung optional von gehosteten Sprachmodellen bewerten lässt. Die KI übernimmt laut der am 31. Oktober 2026 veröffentlichten technischen Analyse von Cisco Talos nicht den Datendiebstahl selbst. Talos-Forscher Ryan Fetterman sagte gegenüber WIRED, Talos habe nicht verfolgt, ob die Malware in freier Wildbahn eingesetzt wurde.

Die KI bewertet Daten nach dem Diebstahl

Ein Infostealer ist Schadsoftware, die vertrauliche Daten von einem Gerät sammelt. Bei VOLTA-AUTODOXER stehen laut Talos unter anderem Browser-Zugangsdaten, Cookies, Zahlungskartendaten, Sitzungen, Tokens, WLAN-Profile und Wallet-Daten im Fokus. Mit gestohlenen Sitzungen kann die Malware Konten weiter auswerten, etwa Gmail nach Kaufbelegen sowie Bestellverläufe bei Uber Eats und DoorDash.

Erst nach Sammlung und Anreicherung bündelt die Probe die Informationen zu einem Dossier. Die optionale KI-Analyse soll einschätzen, welche Vermögenswerte sich möglicherweise zu Geld machen lassen und wie gut das Opfer seine Konten schützt. Dafür leitete die untersuchte Probe das Datenpaket über OpenRouter an gehostete Modelle weiter: Claude Opus 4.6 war als Standardmodell vorgesehen, Kimi K2 und danach Gemini 2.5 Flash als Ausweichmodelle. Das beantwortet auch die Frage nach einem lokalen Sprachmodell: Talos beschreibt eine Weiterleitung an gehostete Modelle. Die Malware kann laut Talos auch ohne diese KI-Stufe funktionieren.

Welche Hinweise Talos für die Abwehr nennt

Talos hebt Chrome-Starts mit dem Parameter --headless als Hinweis auf den beschriebenen Umgehungspfad für App-Bound Encryption hervor. Die Verschlüsselung schützt Browserdaten; Talos empfiehlt, solche Chrome-Aufrufe zu überwachen oder einzuschränken.

Bei einem Verdacht auf eine Infektion nennt Talos außerdem die Datei %APPDATA%\volta_debug.txt als Protokoll der Datenerfassung. Die Empfehlung lautet, die Datei zu sichern, möglicherweise kompromittierte Tokens zu widerrufen und Passwörter zu ändern. Wurde die Seed Phrase einer Kryptowährungs-Wallet im Klartext gespeichert, rät Talos, die Wallet als kompromittiert zu behandeln und Guthaben auf eine neue Wallet zu übertragen, deren Seed auf einem vom Netzwerk getrennten Gerät erzeugt wurde.