Voltaマルウェア、LLMを用いて盗んだデータを被害者の価値でランク付け

VOLTA-AUTODOXERという新しいWindows Infostealer（情報窃取型マルウェア）が出現しました。このマルウェアには特徴的な機能があります。大規模言語モデル（LLM）を使用して盗んだデータを分析し、被害者を金銭的価値の高い順にランク付けするのです。2026年10月に初めて観測されたこのマルウェアは、通常は人間の analyst が行うトリアージプロセスを自動化し、生の認証情報のダンプを構造化されたインテリジェンスレポートに変換します。

何が起きたか

VOLTAは、感染したマシンから広範な機密情報を収集する成熟したStealer implantとして動作します。その収集対象には、ブラウザのパスワード、Cookie、決済カード、暗号通貨ウォレットのシードフレーズ、Discord、Telegram、Steam、Robloxなどのプラットフォームのセッショントークンが含まれます。また、Microsoft OAuthトークン、SSHキー、クラウドプロバイダーの設定、Wi-Fiプロファイル、スクリーンショットも抽出します。多くのコモディティStealerとは異なり、VOLTAは単純な抽出にとどまらず、盗んだセッション自体を用いたライブエンリッチメント（データ強化）を実行します。

初期データの収集後、マルウェアは被害者アカウントへの認証済みアクセスを利用し、インテリジェンスプロファイルを深掘りします。Amazon、DoorDash、Uber Eatsなどのサービスからの購入領収書をGmail受信トレイから検索して住所を確認したり、フードデリバリーアプリから注文履歴を取得したり、Discordトークンを使ってユーザープロファイルを強化したりします。暗号通貨愛好家に対しては、Rolimons.comでライブルックアップを実行し、Robloxの在庫価値を算出します。これらの強化されたデータは、位置情報、雇用主の詳細、推定生年、セキュリティ体制の評価を含む構造化された証拠バンドルとしてまとめられます。

核心的な革新は、このバンドルの処理方法にあります。VOLTAはデータをJSON形式にシリアライズし、OpenRouter経由で外部のLLMプロバイダーに送信します。システムプロンプトでは、モデルに対しフォレンジックインテリジェンスアナリストとして振る舞い、「WHAT THEY'RE WORTH」（彼らの価値）と「THEIR OPSEC」（彼らのOPSEC）といったセクションを含むレポートを作成するように指示しています。出力結果は、資産を収益化の可能性でランク付けし、被害者のパスワード衛生状態を評価します。これにより、低熟練度の攻撃者でも手作業なしで高品質なターゲット優先順位付けを得ることができます。

仕組み

AI統合は、モデルのガードレールに対する耐性を考慮して設計されています。VOLTAはデフォルトでanthropic/claude-opus-4.6を使用しますが、応答を監視し、「I can’t」や「I’m not able」といった拒否フレーズを検知します。拒否が検出された場合、moonshotai/kimi-k2、続いてgoogle/gemini-2.5-flashという代替モデルチェーンへフェイルオーバーします。このマルチモデルアーキテクチャは、開発者が安全性に関する拒否を予測し、それを回避するようにエンジニアリングしていることを示唆しており、プライマリモデルがリクエストをブロックしても分析が完了することを保証します。

マルウェアは、標準的なSDKを避け、手動で組み立てたJSONリクエストとMozilla/5.0 User-Agent文字列を使用して、https[:]//openrouter[.]ai/api/v1/chat/completionsにあるLLMエンドポイントと通信します。temperatureパラメータは0.2にハードコードされており、創造性よりも決定論的で一貫性のある出力を優先しています。推論の往復全体は、最終的なドシエ（「AI_Analysis.txt」として保存される）が生のIDレポートとともにzipファイルとして持ち出される前に、被害者のマシンとネットワーク接続上で行われます。

主要な詳細

• VOLTAはビルダーモデルを採用しており、顧客はテンプレートを通じてAPIキーや設定を提供します。このテンプレートには6つの交換可能なスロットがあり、最終的なバイナリ内では弱く暗号化されています。
• マルウェアはChromeのApp-Bound Encryptionを回避するため、ヘッドレスモードでブラウザを起動し、保存された認証情報を復号します。
• 暗号通貨ウォレットのインラインクラッキングを実行し、WlanGetProfileList関数を使用して保存されているすべてのWi-Fiパスワードを平文でダンプします。
• AI分析プロンプトでは、モデルに対し、名前や大学などのスパースなデータポイント間の関連付け（例えばパスワードパターンとのリンク）を明示的に求めます。
• 攻撃者所有のインフラストラクチャはありません。すべての通信は、OpenRouterやTelegramなどのサードパーティサービスに依存しています。
• マルウェアは実行後に自己削除されますが、完全にクリーンアップされなかった場合、「APPDATA%\volta_debug.txt」にデバッグログファイルが残ります。

なぜ重要か

この発展は、サイバー犯罪オペレーションが量に基づく窃盗から価値に基づくターゲティングへとシフトしていることを示しています。数千件の盗まれた記録を選別する分析作業を自動化することで、VOLTAは犯罪者の運用ハードルを下げています。攻撃者は高価値ターゲットを特定するために熟練したアナリストを必要としなくなり、単にStealerを展開してランク付けされたドシエを受け取るだけで済みます。この効率性は各感染あたりの投資対効果を高め、より広範な展開を促す可能性があります。

防御側にとって、LLMの使用は検知と対応において新たな課題をもたらします。サードパーティのAIプロバイダーへの依存は、ブロックすべき中央コマンドサーバーが存在しないことを意味し、トラフィックは正当なAPI呼び出しのように見える可能性があります。さらに、App-Bound Encryptionのような最新のブラウザセキュリティ機能を回避できる能力は、より厳格なアプリケーション制御ポリシーの必要性を浮き彫りにします。セキュリティチームは、盗まれたセッショントークンがリアルタイムで攻撃プロファイルを強化するために使用される可能性があることを前提とし、即時のトークン失効が重要であることを認識する必要があります。

あなたができること

• ABE回避を防ぐため、--headlessフラグ付きでChromeを起動できるプロセスを制限するアプリケーション制御ポリシーを実装してください。
• エンドユーザデバイスからOpenRouterなどのAI APIエンドポイントへの異常なアウトバウンド接続を監視してください。
• ハードウェアバックアップのストレージを認証情報に適用し、可能であればブラウザにパスワードを保存しないでください。
• 侵害された場合、削除する前にフォレンジック分析のために「APPDATA%\volta_debug.txt」ファイルを保持してください。
• 露出した可能性のあるすべてのアカウントについて、OAuthトークンを直ちに失効させ、パスワードを変更してください。
• ディスク上にシードフレーズが保存されている暗号通貨ウォレットは完全に侵害されているとみなし、資金を新しいエアギャップウォレットへ移行してください。