W analizie opublikowanej 31 października 2026 r. Cisco Talos opisał próbkę windowsowego infostealera VOLTA-AUTODOXER, który po zebraniu i wzbogaceniu skradzionych danych może wysłać ich uporządkowany zestaw do analizy przez modele językowe. Etap AI jest opcjonalny i następuje po kradzieży, a nie ją przeprowadza. Cisco Talos opisał próbkę i jej działanie.
Co zbiera próbka VOLTA-AUTODOXER
Infostealer to złośliwe oprogramowanie przeznaczone do kradzieży danych. Według Talos analizowana próbka może zbierać między innymi dane logowania, pliki cookie, dane kart płatniczych, sesje i tokeny kont, profile Wi-Fi, dane portfeli kryptowalutowych oraz zrzuty ekranu. Wykorzystując skradzione sesje, może też wzbogacać zebrane informacje, na przykład przeszukiwać Gmaila w poszukiwaniu potwierdzeń zakupów oraz sprawdzać historię zamówień w Uber Eats i DoorDash.
Zebrane informacje trafiają do uporządkowanego dossier. Talos opisuje także lokalny plik Identity_Report.txt, odpowiedź AI zapisywaną w AI_Analysis.txt oraz archiwa volta_log.zip, volta_dox.zip i volta_doxnet.zip.
Opcjonalna analiza LLM następuje po kradzieży
Próbka przekazuje dossier przez OpenRouter do modeli hostowanych online. Nie uruchamia lokalnego LLM osadzonego w malware. Domyślnym modelem jest Claude Opus 4.6; jeśli nie zadziała, próbka przechodzi kolejno do Kimi K2 i Gemini 2.5 Flash.
LLM, czyli duży model językowy, ma ocenić potencjalną wartość danych dla przestępców oraz zabezpieczenia ofiary. Talos opisuje prompt o długości 240 słów, który kieruje model ku takiej ocenie. Według Talos sam infostealer może działać także bez tego etapu AI.
Talos odnotował też sześć konfigurowalnych pól, które można zmieniać podczas budowania próbki. Badacze uznali tę konstrukcję za przesłankę możliwego modelu „buildera”, czyli narzędzia do przygotowywania różnych konfiguracji malware’u.
Co mogą sprawdzać obrońcy
Talos wskazuje uruchomienia Chrome z parametrem --headless jako sygnał związany ze ścieżką obejścia App-Bound Encryption opisaną dla tej próbki. Zaleca monitorowanie lub ograniczanie takich uruchomień. Wskazuje też plik %APPDATA%\\volta_debug.txt jako dziennik zbierania danych.
Przy podejrzeniu infekcji Talos zaleca zachować ten plik, unieważnić potencjalnie przejęte tokeny i zmienić hasła. Jeśli fraza seed do portfela kryptowalutowego była przechowywana jawnym tekstem, Talos zaleca potraktować portfel jako przejęty i przenieść środki do nowego, z frazą wygenerowaną na urządzeniu odłączonym od sieci.
Ryan Fetterman z Cisco Talos powiedział, że zespół nie śledził, czy VOLTA była używana w rzeczywistych atakach.
