Cisco Talos analyseerde een Windows-infostealer met de interne naam VOLTA-AUTODOXER. Het sample verzamelt gegevens en kan die daarna via OpenRouter naar gehoste taalmodellen sturen voor een beoordeling van het slachtoffer. De AI-stap is optioneel: volgens Talos kan de malware ook zonder functioneren. Talos-onderzoeker Ryan Fetterman zei dat Talos niet had bijgehouden of VOLTA in het wild was gebruikt. Cisco Talos beschreef het sample en zijn werkwijze op 31 oktober 2026.

De AI-stap komt na het verzamelen

Een infostealer is malware die gegevens van een computer steelt. In het door Talos geanalyseerde sample gaat het onder meer om browsergegevens, cookies, betaalkaartgegevens, accountsessies, tokens, wifi-profielen, walletgegevens en schermafbeeldingen. Met gestolen sessies kan het sample accounts verder uitpluizen, bijvoorbeeld door aankoopbewijzen in Gmail te zoeken of bestelgeschiedenis bij Uber Eats en DoorDash op te vragen.

Daarna bundelt VOLTA de gegevens in een dossier. De AI beoordeelt mogelijke inkomstenbronnen en de operationele beveiliging van het slachtoffer, vaak afgekort als OPSEC. De prompt voor die beoordeling telt volgens Talos 240 woorden. Het sample stuurt het dossier via OpenRouter naar gehoste modellen, niet naar een LLM die lokaal in de malware draait. Claude Opus 4.6 is het standaardmodel; als terugvalopties noemt Talos achtereenvolgens Kimi K2 en Gemini 2.5 Flash.

De analyse door een taalmodel is dus een extra stap na de gegevensverzameling, niet het mechanisme waarmee de eerste diefstal plaatsvindt. Talos beschrijft lokale bestanden met de namen Identity_Report.txt en AI_Analysis.txt, naast gefaseerde ZIP-bestanden: volta_log.zip, volta_dox.zip en volta_doxnet.zip.

Signalen en respons die Talos noemt

Talos noemt Chrome-starts met de optie --headless relevant voor het omzeilingspad van dit sample langs App-Bound Encryption. Beheerders kunnen zulke starts volgens de analyse bewaken of beperken. Bij een vermoedelijke besmetting adviseert Talos het logbestand %APPDATA%\volta_debug.txt te bewaren, mogelijk buitgemaakte tokens in te trekken en wachtwoorden te wijzigen.

Voor een cryptocurrencywallet geldt een specifiekere maatregel wanneer de seed phrase, de geheime herstelreeks, als platte tekst was opgeslagen: Talos adviseert die wallet als gecompromitteerd te behandelen en het geld over te zetten naar een nieuwe wallet waarvan de seed op een offline apparaat is aangemaakt.