インフォスティーラーVOLTA、LLMで被害者を換金価値順にランク付け

Ryan Fetterman氏の報告によると、CAIRNの調査で見つかった自動削除型WindowsインフォスティーラーVOLTA-AUTODOXERは、窃取した被害者情報をLLMに分析させ、資産を換金価値順にランク付けした標的評価を作成します。モデルが拒否した場合に備え、最大3モデルのフォールバックチェーンを組み込んでいます。

何が新しいか

VOLTAは認証情報を盗んだ後、被害者の住所、雇用先、決済情報、アカウント価値、購入履歴などを相関させた証拠バンドルを作り、LLMに「forensic intelligence analyst」として標的評価を書かせます。出力には換金価値をlow/medium/highで順位付けする「WHAT THEY'RE WORTH」と、被害者のセキュリティ態勢やパスワード習慣を評価する「THEIR OPSEC」の節が含まれます。記事は、AIが収集能力ではなく収集後の分析作業を代替している点を新規性として説明しています。プロンプトは、氏名・住所・大学などとパスワードのパターンを結びつけるような推論も求めています。

LLM連携の仕様

項目	内容
エンドポイント	https[ :]// openrouter [ .]ai/ api /v1/chat/completions
既定モデル	anthropic/claude-opus-4.6
フォールバック	moonshotai /kimi-k2 → google/gemini-2.5-flash
温度	0.2
リクエスト形式	手組みのJSON、SDK不使用、User-Agent Mozilla/5.0
拒否判定	応答中の「I can’t」「I’m not able」などを検出して次のモデルへ

OpenRouterは複数提供元のAIモデルを共通APIから利用するサービスです。LLMキーがない場合、VOLTAはLLM処理なしでも動作します。推論は被害者の端末とネットワーク上で実行され、結果が外部送信されます。

収集と送信の流れ

VOLTAはブラウザ認証情報、Cookie、決済カード、暗号資産ウォレット(内蔵クラッカーでvaultを解析)、Discord・Telegram・Steam・Robloxのセッション、Microsoft OAuthトークン、SSH・クラウドキー、Wi-Fiプロファイル(WlanGetProfileListで平文取得)、スクリーンショットを収集します。さらに盗んだGmailトークンでAmazonやDoorDashなどの領収書を検索して住所を裏付け、Uber Eats・DoorDashの注文履歴、Discordプロフィール、Rolimonsでのロブロックス資産評価を追加取得します。

データはIdentity_Report.txtにまとめられ、JSONでOpenRouterへPOSTされ、結果はAI_Analysis.txtに保存されます。送信は最大3段階で、volta_log.zip(窃取後)、volta_dox.zip(AI呼び出し後)、volta_doxnet.zip(ネットワーク追加取得の成果がある場合)です。

TelegramチャネルやAPIキーはビルド時に差し替える6つのスロットに入っており、記事は作者がアクセスを販売するビルダー型と見ています。スロット内の認証情報は同一バイナリ内の定数2つのSHA-256を鍵に暗号化されているだけで、解析すれば復元できます。攻撃者所有のインフラはありません。

防御策

• 既知の開発者以外のプロセスによるChromeの--headless起動を制限または検知する(App-Bound Encryption回避経路の遮断)
• 侵害時はAPPDATA%\volta_debug.txtを保存する(収集内容とLLM呼び出し成否の記録)
• 侵害が疑われるトークンを失効させ、パスワードを変更する
• シードフレーズがディスク上に平文で存在した場合はウォレットを完全侵害として扱い、エアギャップ環境で生成した新シードのウォレットへ資金を移す

サンプル情報

項目	値
SHA256	57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279
ファイル名	9BY0tjwOc3ut.exe / yLP9m5J3i2Aw.exe
種別	PE32+ x86-64
PEタイムスタンプ	2026-08-17 20:35
初回確認(UTC)	2026-10-11 12:46