Wprowadzenie do problemu / definicja
VOLTA-AUTODOXER, określany również jako VOLTA, to nowy infostealer dla systemów Windows, który łączy klasyczną kradzież danych z automatyczną analizą informacji przy użyciu modeli językowych. Oznacza to, że malware nie tylko pozyskuje hasła, sesje i tokeny, ale też buduje uporządkowany profil ofiary i ocenia jej potencjalną wartość finansową.
To istotna zmiana w krajobrazie zagrożeń. Zamiast przekazywać operatorowi wyłącznie surowe logi, szkodnik dostarcza gotowy materiał analityczny, który pozwala szybciej zdecydować, które ofiary warto dalej eksploatować.
W skrócie
VOLTA działa jako dojrzały stealer dla Windows, wzbogacony o warstwę analityczną AI. Po kradzieży danych buduje pakiet dowodowy dotyczący użytkownika i przesyła go do analizy przez zewnętrzne modele LLM, domyślnie wykorzystując Claude Opus 4.6, a w razie odmowy lub błędu przełączając się na Kimi K2 oraz Gemini 2.5 Flash.
- Kradnie hasła, cookies i dane kart płatniczych z przeglądarek.
- Pozyskuje informacje z Outlooka, Slacka, Discorda, Telegrama, Steam i innych aplikacji.
- Zbiera tokeny OAuth, klucze SSH, dane chmurowe i profile Wi-Fi.
- Próbuje uzyskać dostęp do portfeli kryptowalutowych oraz fraz seed.
- Analizuje dodatkowe dane, takie jak historia zakupów czy wiadomości e-mail, aby potwierdzić tożsamość ofiary.
Kontekst / historia
Infostealery od lat należą do najczęściej wykorzystywanych narzędzi przez cyberprzestępców. Zazwyczaj służą do masowego pozyskiwania poświadczeń, sesji i danych finansowych, które następnie są sprzedawane, wykorzystywane do przejmowania kont lub stają się etapem przygotowawczym do kolejnych ataków, w tym ransomware.
VOLTA rozwija ten model o warstwę automatycznej oceny wartości ofiary. Dzięki temu operator nie musi ręcznie analizować przechwyconych danych. Malware sam tworzy raport wskazujący, które zasoby są najbardziej opłacalne z perspektywy monetyzacji. To kolejny sygnał, że generatywna AI coraz częściej wspiera nie tylko phishing czy tworzenie kodu, ale również operacyjne decyzje po stronie atakujących.
Konstrukcja próbki sugeruje także model builderski lub usługowy. Obecność slotów konfiguracyjnych uzupełnianych podczas kompilacji może wskazywać, że autorzy oferują spersonalizowane buildy lub przygotowują malware na zamówienie.
Analiza techniczna
Technicznie VOLTA działa jak zaawansowany stealer z dodatkowym etapem wzbogacania i klasyfikacji danych. Po uruchomieniu zbiera artefakty z wielu źródeł lokalnych i aplikacyjnych. Obejmuje to zapisane hasła, cookies i karty płatnicze z przeglądarek Chromium, a także dane z Firefoxa, Thunderbirda, Outlooka, Slacka, Steam, Battle.net, Discorda, Telegrama, Robloxa oraz konfiguracje SSH i usług chmurowych.
Złośliwe oprogramowanie pozyskuje także hasła do sieci Wi-Fi, profile użytkownika, metadane dokumentów i ślady kopii zapasowych urządzeń mobilnych. W przypadku portfeli kryptowalutowych nie ogranicza się do kopiowania danych, lecz podejmuje próby uzyskania dostępu do zawartości sejfów portfeli.
Kluczowym etapem jest budowa tzw. evidence bundle, czyli ustrukturyzowanego pakietu informacji o ofierze. Taki pakiet może zawierać geolokalizację, adres domowy, domenę pracodawcy, przybliżony rok urodzenia, końcówki kart płatniczych, przestrzenie robocze Slacka, informacje o autorstwie dokumentów czy wycenę aktywów powiązanych z kontem użytkownika.
Następnie malware aktywnie wzbogaca dane z użyciem przejętych sesji. Przeszukuje skrzynkę Gmail pod kątem potwierdzeń zakupów i zamówień, analizuje historię usług dostawczych oraz wykorzystuje przejęte tokeny do pobrania dodatkowych informacji o kontach. Celem jest nie tylko zwiększenie liczby skradzionych rekordów, ale przede wszystkim potwierdzenie tożsamości i zbudowanie precyzyjnego profilu ofiary.
Na etapie AI VOLTA przesyła lokalnie zbudowany raport do usługi pośredniczącej w dostępie do modeli LLM. Z analizy wynika, że domyślnie używany jest Claude Opus 4.6, a łańcuch awaryjny obejmuje Kimi K2 i Gemini 2.5 Flash. Malware wykrywa odmowę wykonania zadania przez model i w razie potrzeby przełącza się na kolejną usługę. Pokazuje to, że autor przewidział zabezpieczenia po stronie dostawców AI i zaimplementował mechanizm omijania blokad operacyjnych.
Efektem końcowym jest raport klasyfikujący zasoby ofiary według potencjału monetyzacji oraz oceniający jej higienę bezpieczeństwa operacyjnego. Model językowy pełni więc rolę analityka triage, który zamienia surowy materiał z kradzieży w gotowe dossier.
Eksfiltracja danych przebiega etapowo, między innymi bezpośrednio po uruchomieniu stealera, po analizie AI oraz po zakończeniu wzbogacania danych sieciowych. Kanałem odbioru danych ma być Telegram. Dodatkowo próbka potrafi samodzielnie usunąć się po wykonaniu zadania, co utrudnia analizę incydentu.
Konsekwencje / ryzyko
Najpoważniejszym ryzykiem związanym z VOLTA jest automatyzacja selekcji ofiar. W tradycyjnym modelu operator musi ręcznie ocenić, czy skradzione dane nadają się do dalszego wykorzystania. Tutaj znaczną część tej pracy wykonuje model AI, co obniża próg wejścia i zwiększa skalę oraz efektywność kampanii.
Dla użytkowników indywidualnych oznacza to większe ryzyko szybkiego przejęcia skrzynek pocztowych, komunikatorów, kont usługowych oraz portfeli kryptowalutowych. Dla organizacji zagrożenie jest jeszcze szersze, ponieważ przejęte tokeny, dane z Outlooka, Slacka czy konfiguracje chmurowe mogą posłużyć do kompromitacji środowisk firmowych, eskalacji uprawnień i przygotowania dalszych działań ofensywnych.
Niebezpieczny jest również aspekt prywatności. VOLTA nie ogranicza się do prostego eksportu sekretów, lecz próbuje ustalić relacje między adresem zamieszkania, historią zakupów, pracodawcą, zwyczajami użytkownika i potencjalnymi aktywami. To zwiększa ryzyko ukierunkowanych oszustw, kradzieży tożsamości, szantażu i zaawansowanych ataków socjotechnicznych.
Rekomendacje
Organizacje powinny traktować nowoczesne infostealery jako zagrożenie prowadzące nie tylko do wycieku poświadczeń, ale do pełnej rekonstrukcji profilu użytkownika i środowiska pracy. Ochrona powinna obejmować kilka warstw.
- Ograniczać możliwość przejmowania sesji przeglądarkowych i dostępu do lokalnie przechowywanych sekretów.
- Monitorować wykorzystanie tokenów OAuth, sesji pocztowych, komunikatorów i dostępu do usług chmurowych.
- Rozszerzyć detekcję o symptomy typowe dla infostealerów, takie jak masowy odczyt danych aplikacyjnych, eksport profili Wi-Fi czy dostęp do katalogów portfeli kryptowalutowych.
- Po wykryciu infekcji natychmiast unieważniać sesje, resetować hasła i rotować klucze dostępu.
- Zabezpieczać lokalne artefakty powłamaniowe, nawet jeśli próbka samousunęła się po zakończeniu działania.
W przypadku kompromitacji skrzynki pocztowej warto przeanalizować, jakie wiadomości mogły zostać użyte do profilowania ofiary. Jeśli ujawnione zostały frazy seed portfeli kryptowalutowych, środki należy uznać za zagrożone i przenieść je do nowych portfeli.
Podsumowanie
VOLTA-AUTODOXER pokazuje nowy etap rozwoju infostealerów: przejście od masowej kradzieży danych do zautomatyzowanej oceny wartości ofiary. To nie jest już wyłącznie stealer, ale narzędzie rozszerzone o warstwę analityczną AI, która porządkuje informacje, wzbogaca je i wskazuje najbardziej opłacalne ścieżki dalszego wykorzystania.
Dla zespołów bezpieczeństwa oznacza to konieczność szerszego spojrzenia na skutki infekcji. Obrona przed tego typu zagrożeniami wymaga dziś nie tylko ochrony haseł, ale również aktywnego zarządzania sesjami, tokenami, artefaktami lokalnymi oraz monitorowania zachowania aplikacji użytkownika końcowego.
Źródła
- https://thehackernews.com/2026/11/new-volta-infostealer-uses-claude.html
- https://blog.talosintelligence.com/appraisal-by-ai-model-driven-victim-prioritization-in-the-volta-infostealer/