VOLTA-AUTODOXER用大模型给资产排序

VOLTA先建立档案，再将结果发送到Telegram

该恶意软件会建立一个证据包，其中包含地理位置和家庭住址、雇主及雇主域名、推断的出生年份、卡片后4位数字、Slack工作区、文档作者元数据、iPhone备份指标以及实时Roblox账户估值。

Cisco Talos研究员Ryan Fetterman表示，VOLTA会建立关于计算机使用者的结构化证据包。该证据包会被序列化，并根据提示发送给OpenRouter，提示要求模型充当「起草目标评估的取证情报分析师」。

请求的输出包括一个名为「他们值多少钱」的部分，根据低、中、高等级按照变现价值排列贵重资产；还包括评估受害者安全状况和密码卫生的部分。

请求被拒绝时，VOLTA会切换模型

VOLTA会检查模型响应中是否包含拒绝短语，然后通过最多3个模型组成的链传递请求。Cisco Talos表示，请求默认使用Anthropic的Claude Opus 4.6，失败后切换到Moonshot AI的Kimi K2和Google的Gemini 2.5 Flash。

模型温度设置为0.2，Talos表示这说明其强调准确性和一致性。Talos将AI层描述为转移工作量，而不是提升速度或规模。

由此产生的能力可能让客户在Telegram收件箱中收到已排序的目标评估。Talos表示，VOLTA会在执行后、调用AI后以及实时丰富后通过Telegram发送数据。

VOLTA利用实时账户数据丰富目标评估

Cisco Talos表示，第一次Telegram传输包含浏览器密码、Cookie、支付卡、加密货币钱包、Discord、Steam和Roblox令牌、Wi-Fi密码以及屏幕截图。第二次包含捕获的数据和大模型分析结果。

第三次传输包含实时丰富步骤中的Gmail收据和订单历史。Talos表示，VOLTA会搜索与Amazon、DoorDash、Uber Eats、Grubhub、Walmart和PayPal相关的收据，以核实家庭住址。

观察到的样本使用文件名9BY0tjwOc3ut.exe和yLP9m5J3i2Aw.exe。VOLTA使用带有六个可替换槽位的模板，并在构建时填入；Talos表示，这种设计说明其可能采用构建器模式，由客户提供值并获得定制二进制文件。

Cisco Talos建议组织限制哪些进程可以使用--headless启动Chrome，并表示该策略将阻断VOLTA的App-Bound Encryption解密路径。

Talos表示，在观察到的端点中没有攻击者自有基础设施。推理往返过程通过受害者自己的网络连接和机器完成，然后再将结果外传。