Sicherheitsforscher von Cisco Talos haben einen neuen Infostealer für Windows entdeckt, der große Sprachmodelle in seine Arbeit einbindet. Die Schadsoftware heißt VOLTA-AUTODOXER, kurz VOLTA. Sie nutzt KI, um die gestohlenen Daten eines Opfers danach zu ordnen, wie viel Geld sich mit ihnen machen lässt. Darüber berichten The Hacker News und Talos selbst.

Was VOLTA stiehlt

Wie andere Infostealer greift VOLTA Passwörter und Cookies aus Chromium-Browsern ab, dazu Daten aus Outlook-Profilen und Slack-Workspaces, Zahlungskarten, Seed-Phrasen von Kryptowallets, Sitzungen von Discord, Telegram, Steam und Roblox, Microsoft-OAuth-Token, SSH- und Cloud-Schlüssel, WLAN-Profile und Screenshots. Daraus baut die Software laut Talos-Forscher Ryan Fetterman ein strukturiertes Beweispaket über die Person hinter dem Rechner: Standort und Wohnadresse, Arbeitgeber, geschätztes Geburtsjahr, die letzten vier Kartenziffern, Slack-Workspaces und Metadaten zur Autorschaft von Dokumenten.

Um die Wohnadresse zu bestätigen, nutzt VOLTA gestohlene Sitzungen, um im Gmail-Konto des Opfers nach Quittungen von Diensten wie Amazon, Uber Eats, Walmart oder PayPal zu suchen.

Die KI als Triage-Analyst

Das gesammelte Paket schickt VOLTA über den Dienst OpenRouter an Sprachmodelle. Standardmäßig wird Anthropics Claude Opus 4.6 angefragt. Verweigert das Modell die Antwort, weicht die Software auf Kimi K2 von Moonshot AI und dann auf Googles Gemini 2.5 Flash aus. Dazu prüft sie die Antworten auf Formulierungen wie „I can’t“ oder „I’m not able“. Ein rund 240 Wörter langer Systemprompt weist das Modell an, als „forensischer Analyst“ eine Zielbewertung zu erstellen. Die Ausgabe enthält einen Abschnitt, der die Wertgegenstände des Opfers nach Verwertbarkeit einstuft, und eine Einschätzung seiner Sicherheitsgewohnheiten.

„Das Modell ist der Triage-Analyst des Betreibers“, schreibt Talos. Es verwandle ein rohes Zugangsdaten-Log in ein priorisiertes Dossier über das Opfer und seine verwertbaren Werte. Die Daten fließen in drei Stufen über Telegram ab.

Möglicherweise ein Baukasten

VOLTA nutzt eine Vorlage mit sechs Feldern, die beim Erstellen der Schadsoftware gefüllt werden, darunter der Telegram-Kanal und API-Schlüssel. Das deutet laut Talos darauf hin, dass der Autor entweder einen Baukasten an Kunden vertreibt oder für jede Bestellung ein eigenes Programm erzeugt. Sollte VOLTA als Ware gehandelt werden, wäre die KI-Dossier-Funktion ein Verkaufsargument für Käufer.

Schutzmaßnahmen

Gegen Infostealer helfen vor allem Grundregeln: Software nur aus vertrauenswürdigen Quellen installieren, Browser und Betriebssystem aktuell halten und wichtige Konten mit einem zweiten Faktor absichern. Unternehmen sollten zudem prüfen, ob in Browsern gespeicherte Passwörter für Firmenkonten überhaupt erlaubt sein sollten.