Cisco Talos 分析 VOLTA 窃密木马用 LLM 给受害者资产排级

Cisco Talos 研究员 Ryan Fetterman 于 2026 年 10 月 31 日发布了对 VOLTA-AUTODOXER 的分析。这是一款会自删除的 Windows 窃密木马，它在完成一轮广泛的凭据窃取后，会进入一个由大语言模型驱动的阶段，旨在对每个受害者的可变现资产进行排序。

Talos 将 VOLTA 描述为一个成熟的窃密植入程序，带有可选的 AI 集成层，并表示观察到的每个端点均由第三方控制，没有攻击者自有的基础设施。在 Talos 的评估中，AI 阶段的新颖之处在于，该模型是代表操作者充当情报分析师，而不是支撑某种传统的恶意软件能力，它把原始的凭据日志转化为一份按优先级排列的受害者可变现资产档案，并附有引用依据。

该恶意软件是通过 Talos 的 CAIRN 研究项目发现的。Talos 于 2026 年 9 月 22 日发布并开源了 CAIRN（认知制品情报研究网络，Cognitive Artifact Intelligence Research Network），作为一套工具包，用于通过嵌入的提示词、提供商端点和 API 密钥等元数据制品来搜寻、分类和追踪 AI 集成的恶意软件，而无需下载或执行底层二进制文件。Talos 在发布时表示，将随时间推移分享其初步发现，首先是 CLOSEDQUORUM，它将其描述为一个完全自主的多模型共识编排器，没有人类操作者。

收集与会话增强

单次 VOLTA 运行会从基于 Chromium 的浏览器中提取浏览器凭据、Cookie 和保存的支付卡，以及 Firefox 和 Thunderbird 数据、Outlook 配置文件、Slack 工作区、Steam 和 Battle.net 会话、Discord 令牌、Telegram 会话、Roblox 账户、Microsoft OAuth 令牌、gcloud、OpenVPN 和 Hide.me 的 SSH 与云服务商配置文件、Wi-Fi 配置文件以及屏幕截图。该窃密程序并非简单地复制加密货币钱包，而是在同一次运行中对钱包保险库运行内置的破解程序，并将结果记录在其自身报告的 WALLET VAULTS CRACKED 一行中。一次直接的 WlanGetProfileList 调用会以明文转储主机上所有已保存的 Wi-Fi 密码。

随后，一次实时增强运行会复用窃取到的会话。利用受害者本人已通过身份验证的 Gmail 令牌，VOLTA 会在收件箱中搜索来自 Amazon、DoorDash、Uber Eats、Grubhub、Walmart 和 PayPal 的收据，以佐证家庭住址。它直接拉取 Uber Eats 和 DoorDash 的订单历史，通过窃取到的令牌丰富受害者的 Discord 个人资料，并通过 Rolimons.com 上的实时查询对 Roblox 库存进行估值。收集到的材料会在本地汇编成一个结构化证据包，其中包含地理位置和家庭住址、雇主及雇主域名、推断的出生年份、银行卡后四位数字、Slack 工作区、文档作者元数据和 iPhone 备份指示信息，然后保存为 Identity_Report.txt 并序列化为 JSON。

模型返回的评估结果会保存为 AI_Analysis.txt，外泄可通过三个分阶段归档进行：窃密程序运行后的 volta_log.zip、AI 调用后的 volta_dox.zip，以及网络增强产生任何结果时的 volta_doxnet.zip。

OpenRouter 排序阶段

序列化后的证据包会以 POST 方式发送到 OpenRouter 的聊天补全端点，并附带一条系统提示词，指示模型充当“一名起草目标评估的法证情报分析师”。要求的输出包括一个 WHAT THEY'RE WORTH 部分，按变现价值将受害者的贵重资产分为低、中、高三档进行排序，以及一个 THEIR OPSEC 部分，评估受害者的安全态势和密码卫生。该提示词还推动模型将稀疏的数据点联系起来，例如将受害者的姓名、地址或大学与其密码中的模式相关联。Talos 指出，模型被要求做的与其说是查找数据，不如说是进行推断，以延伸已抓取数据的价值。

硬编码配置使用 anthropic/claude-opus-4.6 作为默认模型，回退链依次为 moonshotai/kimi-k2 和 google/gemini-2.5-flash，温度为 0.2，并手工组装 JSON 请求，不使用 SDK，使用 Mozilla/5.0 User-Agent。Talos 表示，低温度表明操作者强调准确性和一致性，并将级联链描述为在出现拒答时转向更小、更宽松的模型。

VOLTA 会在沿最多三个模型的链条向下切换之前，检查每个模型响应中是否含有“I can't”等拒答短语；如果不存在 API 密钥，它也可以完全在没有 LLM 阶段的情况下运行。整个推理往返过程都在受害者机器上、通过受害者自己的网络连接运行；只有在此之后，结果才会被外泄。

构建器部署与对策

VOLTA 并非将其 Telegram 频道、API 密钥和设置硬编码，而是由一个模板编译而来，该模板包含六个可在构建时填充的可替换槽位。Talos 表示，这指向一种构建器模式：作者出售访问权限，买家提供自己的值，并为每份订单编译一个自定义二进制文件。分析指出，如果这种模式成立，那么 AI 档案就是一项商业功能，让任何技术水平层次的客户都能在 Telegram 收件箱中收到按等级排序的目标评估，而不是作者为个人使用而构建的能力。槽位凭据使用一个密钥加密，该密钥由同一二进制文件中的两个常量经 SHA-256 派生而来；Talos 表示这并未提供有意义的保护，因为任何逆向该文件的人都能恢复它们。

VOLTA 的令牌窃取在很大程度上依赖于绕过 Chrome 中的 App-Bound Encryption。Talos 表示，一项限制哪些进程可以带 headless 标志启动 Chrome 的应用程序控制策略将完全阻断该解密路径，并至少建议在 Chrome 从意外进程以 headless 方式启动时发出警报，同时采用硬件支持的凭据存储。在遭到入侵后，Talos 建议保留 volta_debug.txt 文件——一份带时间戳的收集日志，准确记录收集了哪些内容以及 LLM 调用是否成功——然后撤销可能已泄露的令牌并更改密码。任何助记词以明文形式存放在磁盘上的钱包都应被视为完全失陷，应将资金迁移到一个新钱包，其助记词在气隙设备上生成。

在 Talos 的框架中，AI 层带来的改进是工作量转移，而非速度或规模提升，这与 Talos 在 CLOSEDQUORUM 中识别出的底层逻辑相同，只是应用于行动的不同阶段。分析总结道，随着恶意软件中 AI 集成的成熟，拒答韧性可能成为一项标准设计要求。

Talos 将所分析的样本列为 PE32+ x86-64 二进制文件，SHA-256 哈希为 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279，观察到的文件名为 9BY0tjwOc3ut.exe 和 yLP9m5J3i2Aw.exe，PE 时间戳为 2026 年 8 月 17 日，首次发现于 2026 年 10 月 11 日 12:46 UTC。