Malware Volta sử dụng LLM để xếp hạng dữ liệu bị đánh cắp theo giá trị nạn nhân

Một trình đánh cắp thông tin trên Windows mới có tên VOLTA-AUTODOXER đã xuất hiện với một khả năng đặc biệt: nó sử dụng các mô hình ngôn ngữ lớn (LLM) để phân tích dữ liệu bị đánh cắp và xếp hạng các nạn nhân dựa trên giá trị tiền tệ tiềm năng của họ. Được quan sát lần đầu vào tháng 10 năm 2026, phần mềm độc hại này tự động hóa quy trình phân loại thường đòi hỏi sự can thiệp của các nhà phân tích con người, biến các bản dump thông tin đăng nhập thô thành các báo cáo tình báo có cấu trúc.

Chuyện gì đã xảy ra

VOLTA hoạt động như một implant đánh cắp thông tin trưởng thành, thu thập nhiều loại thông tin nhạy cảm từ các máy tính bị nhiễm. Các mục tiêu thu thập bao gồm mật khẩu trình duyệt, cookie, thẻ thanh toán, cụm từ hạt giống ví tiền điện tử và token phiên cho các nền tảng như Discord, Telegram, Steam và Roblox. Nó cũng trích xuất token Microsoft OAuth, khóa SSH, cấu hình nhà cung cấp dịch vụ đám mây, hồ sơ Wi-Fi và ảnh chụp màn hình. Khác với nhiều trình đánh cắp thông tin thương mại phổ biến, VOLTA vượt ra ngoài việc trích xuất đơn giản bằng cách thực hiện làm giàu dữ liệu trực tiếp (live enrichment) sử dụng chính các phiên bị đánh cắp.

Sau khi thu thập dữ liệu ban đầu, phần mềm độc hại sử dụng quyền truy cập đã xác thực vào tài khoản của nạn nhân để mở rộng hồ sơ tình báo. Nó truy vấn hộp thư Gmail để tìm biên lai mua hàng từ các dịch vụ như Amazon, DoorDash và Uber Eats nhằm xác nhận địa chỉ nhà. Nó lấy lịch sử đơn hàng từ các ứng dụng giao đồ ăn và sử dụng token Discord để làm phong phú thêm hồ sơ người dùng. Đối với những người đam mê tiền điện tử, nó thực hiện tra cứu trực tiếp trên Rolimons.com để định giá kho vật phẩm Roblox. Dữ liệu được làm giàu này được tổng hợp thành một gói bằng chứng có cấu trúc bao gồm vị trí địa lý, chi tiết về nhà tuyển dụng, năm sinh suy luận và đánh giá tư thế bảo mật.

Đổi mới cốt lõi nằm ở cách gói dữ liệu này được xử lý. VOLTA tuần tự hóa dữ liệu sang JSON và gửi nó đến một nhà cung cấp LLM bên ngoài thông qua OpenRouter. Prompt hệ thống hướng dẫn mô hình đóng vai trò là một nhà phân tích tình báo pháp y, tạo ra một báo cáo với các phần có tiêu đề "WHAT THEY'RE WORTH" (Họ đáng giá bao nhiêu) và "THEIR OPSEC" (Vệ sinh bảo mật của họ). Đầu ra xếp hạng các tài sản theo tiềm năng kiếm tiền và đánh giá vệ sinh mật khẩu của nạn nhân. Điều này cho phép các đối tượng tấn công ít tinh vi nhận được sự ưu tiên mục tiêu chất lượng cao mà không cần nỗ lực thủ công.

Cách thức hoạt động

Tích hợp AI được thiết kế để chống lại các rào chắn an toàn (guardrails) của mô hình. VOLTA mặc định sử dụng anthropic/claude-opus-4.6 nhưng giám sát các phản hồi để tìm các cụm từ từ chối như "I can’t" hoặc "I’m not able". Nếu phát hiện sự từ chối, nó sẽ chuyển sang một chuỗi các mô hình thay thế, cụ thể là moonshotai/kimi-k2 và sau đó là google/gemini-2.5-flash. Kiến trúc đa mô hình này cho thấy các nhà phát triển dự đoán và thiết kế xung quanh các sự từ chối vì lý do an toàn, đảm bảo quá trình phân tích hoàn tất ngay cả khi mô hình chính chặn yêu cầu.

Phần mềm độc hại giao tiếp với điểm cuối LLM tại https[:]//openrouter[.]ai/api/v1/chat/completions bằng cách sử dụng các yêu cầu JSON được lắp ráp thủ công và chuỗi User-Agent Mozilla/5.0, tránh sử dụng các SDK tiêu chuẩn. Tham số nhiệt độ (temperature) được mã hóa cứng ở mức 0.2, ưu tiên đầu ra xác định và nhất quán hơn là sự sáng tạo. Toàn bộ vòng lặp suy luận diễn ra trên máy và kết nối mạng của nạn nhân trước khi hồ sơ cuối cùng, được lưu dưới dạng "AI_Analysis.txt", bị đánh cắp cùng với báo cáo danh tính thô trong một tệp zip.

Chi tiết chính

• VOLTA sử dụng mô hình builder nơi khách hàng cung cấp API key và cài đặt thông qua một mẫu với sáu khe cắm có thể hoán đổi, được mã hóa yếu trong binary cuối cùng.
• Phần mềm độc hại bỏ qua App-Bound Encryption của Chrome bằng cách khởi chạy trình duyệt ở chế độ headless để giải mã các thông tin đăng nhập đã lưu.
• Nó thực hiện bẻ khóa trực tiếp (inline cracking) các ví tiền điện tử và dump tất cả mật khẩu Wi-Fi đã lưu sang văn bản thuần túy bằng hàm WlanGetProfileList.
• Prompt phân tích AI yêu cầu rõ ràng mô hình tạo ra các mối liên hệ giữa các điểm dữ liệu thưa thớt, chẳng hạn như liên kết tên hoặc trường đại học với các mẫu mật khẩu.
• Không có cơ sở hạ tầng thuộc sở hữu của kẻ tấn công; tất cả giao tiếp đều dựa vào các dịch vụ của bên thứ ba như OpenRouter và Telegram cho lệnh và điều khiển (C2).
• Phần mềm độc hại tự xóa sau khi thực thi, nhưng để lại một tệp nhật ký gỡ lỗi tại "APPDATA%\volta_debug.txt" nếu không được dọn dẹp hoàn toàn.

Tại sao điều này quan trọng

Sự phát triển này đánh dấu một bước chuyển trong các hoạt động tội phạm mạng từ trộm cắp dựa trên khối lượng sang nhắm mục tiêu dựa trên giá trị. Bằng cách tự động hóa công việc phân tích sàng lọc hàng nghìn hồ sơ bị đánh cắp, VOLTA hạ thấp ngưỡng vận hành tối thiểu cho tội phạm. Các đối tượng tấn công không còn cần các nhà phân tích có kỹ năng để xác định các mục tiêu giá trị cao; họ chỉ cần triển khai trình đánh cắp thông tin và nhận được các hồ sơ đã được xếp hạng. Hiệu quả này làm tăng lợi tức đầu tư cho mỗi lần lây nhiễm, có khả năng khuyến khích việc triển khai rộng rãi hơn.

Đối với các đội phòng thủ, việc sử dụng LLM đặt ra những thách thức mới trong phát hiện và phản ứng. Sự phụ thuộc vào các nhà cung cấp AI của bên thứ ba có nghĩa là không có máy chủ lệnh trung tâm nào để chặn, và lưu lượng truy cập có thể trông giống như các cuộc gọi API hợp lệ. Hơn nữa, khả năng bỏ qua các tính năng bảo mật trình duyệt hiện đại như App-Bound Encryption nhấn mạnh nhu cầu về các chính sách kiểm soát ứng dụng nghiêm ngặt hơn. Các nhóm bảo mật phải giả định rằng bất kỳ token phiên nào bị đánh cắp đều có thể được sử dụng để làm phong phú hồ sơ tấn công theo thời gian thực, khiến việc thu hồi token ngay lập tức trở nên cực kỳ quan trọng.

Bạn có thể làm gì

• Triển khai các chính sách kiểm soát ứng dụng hạn chế những quy trình nào có thể khởi chạy Chrome với cờ --headless để ngăn chặn việc bỏ qua ABE.
• Giám sát các kết nối outbound bất thường tới các điểm cuối API AI như OpenRouter từ các thiết bị người dùng cuối.
• Thực thi lưu trữ dựa trên phần cứng cho thông tin đăng nhập và tránh lưu mật khẩu trong trình duyệt khi có thể.
• Nếu bị xâm phạm, hãy giữ lại tệp "APPDATA%\volta_debug.txt" để phân tích pháp y trước khi xóa nó.
• Thu hồi ngay lập tức tất cả token OAuth và thay đổi mật khẩu cho bất kỳ tài khoản nào có thể đã bị lộ.
• Coi bất kỳ ví tiền điện tử nào có cụm từ hạt giống được lưu trên đĩa là bị xâm phạm hoàn toàn và di chuyển funds sang một ví air-gapped mới.