VOLTA: Infostealer lässt Claude, Kimi und Gemini Opfer nach Geldwert sortieren

Funktional entspricht VOLTA zunächst gängigen Stealer-Familien. Die Schadsoftware sammelt Passwörter und Cookies aus Chromium-basierten Browsern, Daten aus Outlook-Profilen und Slack-Arbeitsbereichen, Zahlungskarten, Seed-Phrasen von Kryptowährungs-Wallets, Sitzungen von Discord, Telegram, Steam und Roblox, Microsoft-OAuth-Token, SSH- und Cloud-Provider-Schlüssel, WLAN-Profile sowie Bildschirmfotos.

Aus diesem Material baut die Schadsoftware ein strukturiertes Beweispaket auf. „VOLTA erstellt ein strukturiertes Beweispaket über die Person hinter dem Rechner", sagte Talos-Forscher Ryan Fetterman. Darin enthalten sind demnach Geolokalisierung und Wohnanschrift, Arbeitgeber und dessen Domain, ein abgeleitetes Geburtsjahr, die letzten vier Ziffern von Kreditkarten, Slack-Arbeitsbereiche, Autorenmetadaten aus Dokumenten, Hinweise auf iPhone-Backups sowie eine aktuelle Wertermittlung des Roblox-Kontos.

Um die Angaben zu erhärten, nutzt VOLTA gestohlene Sitzungszugänge und durchsucht das Gmail-Konto des Opfers nach Belegen, die die Wohnadresse bestätigen. Ausgewertet werden dabei E-Mails mit Bezug zu Amazon, DoorDash, Uber Eats, Grubhub, Walmart und PayPal.

Anschließend wird das Paket serialisiert und zusammen mit einem System-Prompt über OpenRouter, einen vereinheitlichenden API-Zugang und Routingdienst für Sprachmodelle, an ein KI-System zur Auswertung übergeben. Standardmäßig gehen die Anfragen an Anthropics Claude Opus 4.6; scheitert das, weicht die Schadsoftware auf Kimi K2 von Moonshot AI und Gemini 2.5 Flash von Google aus. „VOLTA nutzt eine Mehrmodell-Architektur, um bei der Verweigerung eines Modells widerstandsfähig auszuweichen, und prüft jede Antwort auf Formulierungen wie ‚Ich kann nicht‘ oder ‚Ich bin nicht in der Lage‘, bevor es an eine Kette von bis zu drei Modellen weiterreicht", erklärte Talos.

Der System-Prompt umfasst 240 Wörter und weist das Modell an, die Rolle eines „forensischen Nachrichtenanalysten" einzunehmen, der auf Basis des strukturierten Beweispakets eine Zielbewertung verfasst. Eine Zeile des Prompts lautet: „Das Paket ist die EINZIGE zulässige Faktenquelle; dein Trainingswissen darf niemals eine Tatsache über die Zielperson beisteuern."

Zur geforderten Ausgabe gehört laut Talos ein Abschnitt mit dem Titel „WAS SIE WERT SIND", in dem die Wertgegenstände nach Monetarisierbarkeit in die Stufen niedrig, mittel und hoch einsortiert werden, sowie ein Abschnitt „IHRE OPSEC" mit einer Einschätzung der Sicherheitslage und der Passworthygiene des Opfers. „Das Modell ist der Triage-Analyst des Betreibers; es verwandelt ein rohes Zugangsdaten-Protokoll in ein priorisiertes, mit Belegen unterfüttertes Dossier über das Opfer und seine monetarisierbaren Vermögenswerte", so Talos.

Die Daten fließen in drei Etappen über Telegram ab:

• unmittelbar nach dem Lauf des Stealers mit Browser-Passwörtern, Cookies, Zahlungskarten, Kryptowährungs-Wallets, Discord-, Steam- und Roblox-Token, WLAN-Passwörtern und Bildschirmfotos
• nach dem KI-Aufruf mit den erfassten Daten und den Ergebnissen der LLM-Analyse
• nach dem Schritt der Live-Anreicherung mit Gmail-Belegen und Bestellhistorien

VOLTA basiert zudem auf einer Vorlage mit sechs Feldern, die beim Erstellen des Binärprogramms gefüllt werden — darunter der für die Exfiltration genutzte Telegram-Kanal, API-Schlüssel und weitere Einstellungen. Das deutet darauf hin, dass der Autor entweder einen Baukasten an Interessenten vertreibt oder das Werkzeug selbst betreibt und für jede Bestellung eine eigene Binärdatei kompiliert.

„Wenn VOLTA tatsächlich kommerzialisierte Schadsoftware ist, dann ist die KI-Dossier-Fähigkeit nichts, was der Autor für die eigenen Operationen erfunden hat", so Talos. „Es ist eine Funktion, die es einem Kunden beliebigen Kenntnisstands ermöglicht, sie auf Opfer anzusetzen und im eigenen Telegram-Posteingang eingestufte Zielbewertungen zu erhalten." Und weiter: „VOLTA ist ein ausgereifter Stealer mit einer spät angesetzten KI-Schicht, die nur einem Zweck dient: dem Betreiber die analytische Arbeit abzunehmen. Die Achse der KI-Verbesserung ist hier nicht Geschwindigkeit oder Skalierung, sondern die Verlagerung von Aufwand."

Der Einsatz generativer KI durch Angreifer wird zunehmend zum Normalfall: Bedrohungsakteure bauen die Technik in ihre Arbeitsabläufe ein, um eigene Werkzeuge zu entwickeln oder wertvolle Daten aufzuspüren, und erhöhen so ihre Erfolgsaussichten. „GenAI-Technologien eignen sich auch gut dazu, riesige Datenmengen zum Zweck der Klassifizierung oder inhaltlichen Suche zu untersuchen", erklärte Zscaler ThreatLabz. „Sobald ein Angreifer Zugriff auf das System des Opfers hat, kann GenAI daher genutzt werden, um alle Materialien zu durchsuchen, auf die das System des Opfers Zugriff hat, und die wertvollsten oder sensibelsten Daten für Diebstahl oder Verschlüsselung in der nächsten Angriffsphase zu suchen." Ransomware-Akteure können auf diese Weise die sensibelsten Daten eines kompromittierten Netzwerks identifizieren und abgreifen, um die Zahlungsbereitschaft des Opfers zu erhöhen.

Talos hatte zuletzt zudem ein KI-gestütztes Framework namens NIK C2 beschrieben, das Angreifern Fernzugriff, Diebstahl von Zugangsdaten, Keylogging, Erkennungsvermeidung, Überwachung und Ransomware-Funktionen bietet und über einen eingebauten OpenAI-Client gestohlene Daten noch innerhalb der kompromittierten Sitzung zur KI-Analyse schickt. Das in Go geschriebene Windows-Fernzugriffswerkzeug verschafft dauerhafte Kontrolle über befallene Rechner und unterstützt mehr als 52 Befehle, die ein Command-and-Control-Server zum Sammeln unterschiedlichster Daten absetzen kann.

Bemerkenswert ist dabei, dass der Angreifer den OpenAI-API-Schlüssel des Opfers selbst missbrauchen kann: Das Implantat prüft, ob der Akteur einen Schlüssel hinterlegt hat; fehlt dieser, durchsucht es die Umgebungsvariablen des Opfers nach der Zeichenkette „OPENAI_API_KEY" und verwendet diesen. Das ist eine Form von LLMjacking, bei der Angreifer fremden Zugang zu KI-Modellen für eigene Operationen nutzen — hier gegen das Opfer selbst —, während der rechtmäßige Inhaber die Rechenleistung bezahlt. Zugleich verschleiert es, wer die Anfragen gestellt hat. „Dieser Rückfall ist kein Ersatzmechanismus zur Auflösung des API-Schlüssels. Es ist ein bewusstes Design mit erheblichen operativen Auswirkungen", so Talos. „Wenn das Opfer auf seinem Rechner ein OpenAI-Konto eingerichtet hat, wird der API-Schlüssel dieses Kontos die KI-Inferenz des Akteurs finanzieren."

Nach Einschätzung von Talos verändert NIK C2 das Vorgehen von Angreifern grundlegend, indem es Sammlung und Verwertung in einer einzigen fortlaufenden Sitzung zusammenführt und damit die Verzögerungen durch nachgelagerte Auswertung beseitigt, die Verteidigern bislang entscheidende Zeitfenster zur Erkennung verschafft haben.