VOLTA ist ein Windows-Infostealer, der eine KI den Wert seiner Opfer beziffern lässt. Am 31. Oktober veröffentlichte Cisco Talos eine Untersuchung, die seine Vorgehensweise beschreibt: Zuerst stiehlt er Passwörter, Sitzungen und Wallets, dann übergibt er die gebündelten Daten an ein großes Modell, das bewerten soll, wie viel ein Opfer wert ist und wie gut seine Sicherheitsgewohnheiten sind. Neu ist die Arbeitsteilung: Das Modell bricht nicht ein, es übernimmt nur die aufwendigste Vorauswahl für den Betreiber.
Nach dem Diebstahl fragt das Modell zuerst, was das Opfer wert ist
Ein einziger VOLTA-Lauf erfasst fast das gesamte digitale Leben: Browserpasswörter, Cookies und Bankkarten, Sitzungen von Outlook, Slack, Discord, Telegram, Steam und Roblox, OAuth-Token, SSH- und Cloud-Konfigurationen, WLAN-Passwörter und Screenshots. Er kann auch einen eingebauten Tresor für Kryptowährungs-Wallets knacken. Danach reichert er die Beute mit den gestohlenen Sitzungen an: Er bestätigt eine Wohnadresse anhand von Gmail-Quittungen und ruft Bestellungen von Essenslieferdiensten ab. Das Material wird in Identity_Report.txt zusammengeführt und über OpenRouter an ein Modell gesendet. Der Prompt verlangt zwei Abschnitte: „WHAT THEY'RE WORTH", der Vermögenswerte nach der Leichtigkeit ihrer Monetarisierung in niedrig, mittel und hoch einteilt, und „THEIR OPSEC", der Passwortgewohnheiten bewertet.
Lehnt ein Modell ab, nimmt er das nächste
VOLTAs Modellkonfiguration ist unverblümt: Standardmäßig nutzt er Anthropics Claude Opus 4.6 und wechselt bei einer Ablehnungsformulierung wie „I can't" der Reihe nach zu Moonshot AIs Kimi K2 und Googles Gemini 2.5 Flash, bei fester Temperatur von 0,2. Talos zufolge zeigt die Ausweichkette, dass der Autor damit rechnete, auf Modell-Leitplanken zu stoßen. Leitplanken wurden schon früher gezielt umgangen: Auch die Umgehung des Claude-Textwasserzeichens nutzte eine Lücke auf Parameterebene. Die Inferenz läuft auf dem Rechner des Opfers selbst, und die Bewertung wird als AI_Analysis.txt zusammen mit den gestohlenen Daten nach außen übertragen.
Drei Dinge, die Talos nicht belegt hat
Der Bericht sollte nicht als Beleg für einen bereits großen Ausbruch gelesen werden. Talos analysierte eine einzige Probe, die erstmals am 11. Oktober auftauchte, und sagt nichts über Verbreitungsweg, Opferzahl, Einsatz in echten Angriffen oder darüber, ob ein Modell die Bewertung tatsächlich abgeschlossen hat. Sechs Konfigurationsfelder, die zur Build-Zeit befüllt werden, ließen Talos ein „Builder-Modell für Käufer" vermuten, doch das ist nur eine Vermutung; auch eine eigene Infrastruktur des Angreifers wurde nicht gefunden.
Die Abwehr ist ebenso konkret: Beschränkt man, welche Prozesse Chrome im Headless-Modus starten dürfen, blockiert man den Weg um die App-Bound-Verschlüsselung von Chrome, und Headless-Starts durch Prozesse, die keine bekannten Entwicklerwerkzeuge sind, lassen sich alarmieren; Zugangsdaten gehören, wo möglich, in hardwaregestützte Speicher. Bei Verdacht auf Kompromittierung sollte zuerst die Protokolldatei volta_debug.txt gesichert, dann Token widerrufen und Passwörter geändert werden; eine Wallet, deren Seed-Phrase im Klartext auf der Platte lag, gilt als vollständig kompromittiert und muss mit einem auf einem isolierten Gerät erzeugten Seed umgezogen werden. Der frühere Fall einer bösartigen Claude-Code-Version auf dem Cursor-Erweiterungsmarktplatz erinnert daran, bei einem möglicherweise berührten SSH-Schlüssel vom schlimmsten Fall auszugehen und zu prüfen.
