Volta-Malware nutzt LLMs zur Bewertung gestohlener Daten nach Opferwert

Ein neuer Windows-Infostealer namens VOLTA-AUTODOXER ist aufgetaucht und verfügt über eine besondere Fähigkeit: Er nutzt große Sprachmodelle (LLMs), um gestohlene Daten zu analysieren und Opfer nach ihrem potenziellen Geldwert zu bewerten. Erstmals im Oktober 2026 beobachtet, automatisiert diese Malware den Triage-Prozess, der normalerweise menschliche Analysten erfordert, und wandelt rohe Dump-Dateien mit Anmeldedaten in strukturierte Geheimdienstberichte um.

Was passiert ist

VOLTA operiert als ausgereifter Stealer-Implantat, das eine breite Palette sensibler Informationen von infizierten Maschinen sammelt. Zu den Sammelzielen gehören Browser-Passwörter, Cookies, Zahlungskarten, Seed-Phrasen von Kryptowährungs-Wallets sowie Sitzungstokens für Plattformen wie Discord, Telegram, Steam und Roblox. Zudem extrahiert es Microsoft-OAuth-Tokens, SSH-Schlüssel, Konfigurationen von Cloud-Anbietern, WLAN-Profile und Screenshots. Im Gegensatz zu vielen kommerziellen Stealern geht VOLTA über die einfache Extraktion hinaus und führt eine Live-Anreicherung unter Verwendung der gestohlenen Sitzungen selbst durch.

Nach der Erfassung der ersten Daten nutzt die Malware authentifizierten Zugriff auf die Konten der Opfer, um ihr Intelligenzprofil zu vertiefen. Sie fragt Gmail-Postfächer nach Kaufbelegen von Diensten wie Amazon, DoorDash und Uber Eats ab, um Wohnadressen zu bestätigen. Sie ruft Bestellhistorien von Lieferdiensten ab und verwendet Discord-Tokens, um Benutzerprofile anzureichern. Für Enthusiasten von Kryptowährungen führt sie Live-Abfragen auf Rolimons.com durch, um den Wert von Roblox-Inventaren zu bestimmen. Diese angereicherten Daten werden zu einem strukturierten Beweisbündel zusammengefasst, das Geolokalisierung, Arbeitgeberdetails, geschätztes Geburtsjahr und Bewertungen der Sicherheitslage enthält.

Die Kerninnovation liegt darin, wie dieses Bündel verarbeitet wird. VOLTA serialisiert die Daten in JSON und sendet sie über OpenRouter an einen externen LLM-Anbieter. Der System-Prompt weist das Modell an, als forensischer Intelligenzanalytiker zu fungieren und einen Bericht mit den Abschnitten „WHAT THEY'RE WORTH“ (Was sie wert sind) und „THEIR OPSEC“ (Ihre OpSec) zu erstellen. Die Ausgabe bewertet Vermögenswerte nach Monetarisierungspotenzial und evaluiert die Passwort-Hygiene des Opfers. Dies ermöglicht es Akteuren mit geringer Sophistizierung, hochwertige Ziel-Priorisierungen ohne manuellen Aufwand zu erhalten.

Wie es funktioniert

Die KI-Integration ist darauf ausgelegt, Resilienz gegenüber Modell-Guardrails zu bieten. VOLTA verwendet standardmäßig anthropic/claude-opus-4.6, überwacht aber Antworten auf Ablehnungsphrasen wie „I can’t“ oder „I’m not able“. Wird eine Ablehnung erkannt, wechselt es zu einer Kette alternativer Modelle, speziell moonshotai/kimi-k2 und dann google/gemini-2.5-flash. Diese Multi-Modell-Architektur deutet darauf hin, dass die Entwickler Sicherheitsablehnungen antizipieren und umgehen, um sicherzustellen, dass die Analyse abgeschlossen wird, selbst wenn das primäre Modell die Anfrage blockiert.

Die Malware kommuniziert mit dem LLM-Endpunkt unter https[:]//openrouter[.]ai/api/v1/chat/completions unter Verwendung handgefertigter JSON-Anfragen und eines Mozilla/5.0 User-Agent-Strings, wobei Standard-SDKs vermieden werden. Der Temperaturparameter ist hart auf 0,2 kodiert, was deterministische und konsistente Ausgaben gegenüber Kreativität bevorzugt. Der gesamte Inferenz-Roundtrip findet auf dem Rechner und der Netzwerkverbindung des Opfers statt, bevor das finale Dossier, gespeichert als "AI_Analysis.txt", zusammen mit dem rohen Identitätsbericht in einer ZIP-Datei exfiltriert wird.

Wichtige Details

• VOLTA nutzt ein Builder-Modell, bei dem Kunden API-Schlüssel und Einstellungen über eine Vorlage mit sechs austauschbaren Slots bereitstellen, die in der finalen Binärdatei nur schwach verschlüsselt sind.
• Die Malware umgeht Chromes App-Bound Encryption, indem sie den Browser im Headless-Modus startet, um gespeicherte Anmeldedaten zu entschlüsseln.
• Sie führt Inline-Cracking von Kryptowährungs-Wallets durch und dumppt alle gespeicherten WLAN-Passwörter im Klartext unter Verwendung der Funktion WlanGetProfileList.
• Der Prompt für die KI-Analyse fordert das Modell explizit auf, Verbindungen zwischen spärlichen Datenpunkten herzustellen, z. B. Namen oder Universitäten mit Passwortmustern zu verknüpfen.
• Es gibt keine angreiferbesitzene Infrastruktur; die gesamte Kommunikation verlässt sich auf Drittanbieterdienste wie OpenRouter und Telegram für Command and Control.
• Die Malware löscht sich nach der Ausführung selbst, hinterlässt jedoch eine Debug-Log-Datei unter "APPDATA%\volta_debug.txt", wenn sie nicht vollständig bereinigt wurde.

Warum das wichtig ist

Diese Entwicklung markiert einen Wandel in Cybercrime-Operationen vom volumenbasierten Diebstahl zum wertbasierten Targeting. Durch die Automatisierung der analytischen Arbeit beim Durchforsten tausender gestohlener Datensätze senkt VOLTA die operative Einstiegshürde für Kriminelle. Akteure benötigen keine qualifizierten Analysten mehr, um hochrangige Ziele zu identifizieren; sie können einfach den Stealer einsetzen und priorisierte Dossiers erhalten. Diese Effizienz steigert die Rendite pro Infektion und könnte eine breitere Verbreitung fördern.

Für Verteidiger bringt der Einsatz von LLMs neue Herausforderungen in Erkennung und Reaktion mit sich. Die Abhängigkeit von Drittanbieter-KI-Diensten bedeutet, dass es keinen zentralen Befehlsserver gibt, der blockiert werden kann, und der Traffic könnte legitimen API-Aufrufen ähneln. Darüber hinaus hebt die Fähigkeit, moderne Browsereicherheitsfunktionen wie App-Bound Encryption zu umgehen, die Notwendigkeit strengerer Anwendungssteuerungsrichtlinien hervor. Sicherheitsteams müssen davon ausgehen, dass jedes gestohlene Sitzungstoken verwendet werden kann, um ein Angriffsprofil in Echtzeit anzureichern, was eine sofortige Token-Widerrufung kritisch macht.

Was Sie tun können

• Implementieren Sie Anwendungssteuerungsrichtlinien, die einschränken, welche Prozesse Chrome mit dem Flag --headless starten dürfen, um ABE-Umgehungen zu verhindern.
• Überwachen Sie ungewöhnliche ausgehende Verbindungen zu KI-API-Endpunkten wie OpenRouter von Endbenutzergeräten.
• Erzwingen Sie hardwaregestützten Speicher für Anmeldedaten und vermeiden Sie das Speichern von Passwörtern im Browser, wo möglich.
• Bewahren Sie im Falle einer Kompromittierung die Datei "APPDATA%\volta_debug.txt" für die forensische Analyse auf, bevor Sie sie löschen.
• Widerrufen Sie sofort alle OAuth-Tokens und ändern Sie Passwörter für alle Konten, die möglicherweise exponiert wurden.
• Betrachten Sie jede Kryptowährungs-Wallet, deren Seed-Phrase auf der Festplatte gespeichert ist, als vollständig kompromittiert und migrieren Sie Gelder auf eine neue Air-Gapped-Wallet.