シスコTalos、AIで被害者を格付けするWindows情報窃取マルウェアを分析
VOLTA-AUTODOXERは盗んだデータをAIモデルに送り、被害者の資産を順位付けする。Claude Opus 4.6を既定で使用し、拒否時はKimi K2やGemini 2.5 Flashに切り替える。
シスコの研究部門Talosは、盗んだデータをAIモデルに送り被害者の資産を順位付けする「標的評価」を生成する、自己削除型のWindows情報窃取マルウェア「VOLTA-AUTODOXER」に関する調査結果を公表した。Tom's Hardwareが報じた。
VOLTAはOpenRouter経由で評価を要求し、AnthropicのClaude Opus 4.6を温度0.2で既定モデルに設定している。モデルが拒否したり薄い回答を返した場合、Moonshot AIのKimi K2、次いでGoogleのGemini 2.5 Flashに切り替える。
マルウェアはIdentity_Report.txtとJSONバンドルをローカルで組み立て、AIの応答をAI_Analysis.txtとして保存し、両方をvolta_dox.zipにまとめて外部に送信する。ブラウザのパスワードやCookie、決済カード、メールプロファイル、Discordトークン、OAuthトークン、SSHやクラウドの設定ファイル、保存済みWi-Fiパスワードを平文で窃取する。
さらに被害者のGmailを検索してAmazon、DoorDash、Uber Eats、Grubhub、Walmart、PayPalの領収書を探し、RobloxのアイテムをRolimonsで評価する。ペイロードにはTelegramチャンネルやAPIキー、設定用の6つの差し替え枠を持つテンプレートがあり、ビルド時に埋められることから転売目的とみられる。
VOLTAはChromeをヘッドレスで起動してApp-Bound Encryptionを回避するが、ヘッドレスChromeを制限するアプリケーション制御ポリシーで遮断できる。OpenRouterのAPIキーがなければAI分析なしでTelegram経由で送信することは可能だ。Talosは被害者に対しvolta_debug.txtログの保存と、すべてのAPIキーとトークンの失効・ローテーションを勧めている。
よくある質問
VOLTA-AUTODOXERとは何ですか？
シスコのTalosが分析した、自己削除型のWindows情報窃取マルウェアです。盗んだデータをAIモデルに送り、被害者の資産を順位付けした「標的評価」を生成します。
VOLTAはどのAIモデルを使いますか？
OpenRouter経由でAnthropicのClaude Opus 4.6を既定モデルとして使用し、拒否や薄い回答の場合はMoonshot AIのKimi K2、次いでGoogleのGemini 2.5 Flashに切り替えます。
VOLTAの被害に遭った場合の対処は？
Talosはvolta_debug.txtログを保存し、すべてのAPIキーとトークンを失効またはローテーションするよう勧めています。