VOLTA-AUTODOXER dùng Claude để chấm điểm nạn nhân rồi tự xóa trên Windows
New AI-driven Windows malware feeds stolen data to Claude to rank victims’ assets by value, then deletes itself — payload builds custom target assessment, can switch models if one refuses, or skip the AI step entirely
Tóm tắt nhanh
- Cisco Talos cho biết VOLTA-AUTODOXER là một Windows infostealer tự xóa, đánh cắp dữ liệu rồi dùng Anthropic’s Claude để tạo bản đánh giá mục tiêu, xếp hạng tài sản của nạn nhân theo khả năng có thể quy đổi ra tiền.
- Malware này lấy mật khẩu trình duyệt, cookie, thẻ thanh toán đã lưu, hồ sơ email Thunderbird và Outlook, tài khoản Roblox, token Microsoft OAuth, ảnh chụp màn hình, cấu hình SSH và cloud, cùng mật khẩu Wi‑Fi ở dạng plaintext.
- Nếu có ví crypto, VOLTA không chỉ sao chép mà còn cố crack vault ngay trong lúc chạy. Nó cũng thu thập geolocation, địa chỉ nhà, employer, domain công ty, năm sinh suy ra, metadata tác giả tài liệu và 4 số cuối của thẻ thanh toán.
- VOLTA tạo “evidence bundle” cục bộ dưới tên Identity_Report.txt, chuyển sang JSON rồi gửi tới OpenRouter qua kết nối mạng của chính nạn nhân; phản hồi AI được lưu thành AI_Analysis.txt và đóng gói trong volta_dox.zip.
- Lệnh cho model yêu cầu nó đóng vai “a forensic intelligence analyst”, trả lời ngắn gọn, cụ thể, chính xác và đưa ra đánh giá về mức độ phù hợp của nạn nhân làm mục tiêu, kèm trích dẫn và phân tích “opsec” như chất lượng mật khẩu.
- Theo Talos, Claude Opus 4.6 là model mặc định với temperature 0.2. Nếu model từ chối hoặc trả lời quá ngắn, VOLTA có thể chuyển sang Moonshot AI’s Kimi K2 rồi Google’s Gemini 2.5 Flash, hoặc bỏ qua bước AI.
- Malware còn làm enrichment từ dữ liệu đã đánh cắp: tìm hóa đơn trong Gmail từ Amazon, DoorDash, Uber Eats, Grubhub, Walmart và PayPal để xác nhận địa chỉ nhà; lấy lịch sử đơn hàng Uber Eats và DoorDash; dùng token Discord để điền hồ sơ; định giá vật phẩm Roblox qua Rolimons.
- Nếu người vận hành không cung cấp API key cho OpenRouter, VOLTA vẫn có thể gửi dossier qua Telegram nhưng không kèm dữ liệu AI. Bộ build của nó có sáu ô thay thế cho Telegram channel, API key và các thiết lập được điền lúc biên dịch.
- Talos cho biết VOLTA bán theo kiểu custom binary do khách hàng cung cấp giá trị cho các slot, và các thông tin xác thực trong template dù được mã hóa vẫn có thể phục hồi từ file. Sau khi lây nhiễm, main executable có thể tự xóa, nhưng volta_debug.txt nên được giữ lại.
Tóm tắt tự động bằng AI từ bài gốc, có thể có sai sót. Hãy kiểm chứng ở bài gốc.
Trích đoạn bài gốc
Cisco Talos says the VOLTA infostealer sends stolen victim data to Claude Opus 4.6 to rank assets by monetization value.Tapview chỉ hiển thị tiêu đề, trích đoạn ngắn, tóm tắt và đường dẫn tới bài gốc. Nội dung gốc thuộc bản quyền của Tom's Hardware.
