VOLTA-Schadsoftware nutzt KI, um Opfer nach finanziellem Wert zu bewerten

Wie VOLTA vorgeht

Cisco-Talos-Forscher Ryan Fetterman veröffentlichte am 31. Oktober 2026 seine Analyse von VOLTA-AUTODOXER, das im Rahmen des CAIRN-Forschungsprogramms entdeckt worden war. Die erstmals am 11. Oktober beobachtete Schadsoftware kombiniert klassischen Datendiebstahl mit einer KI-gestützten Opferbewertungsstufe.

Nach dem Eindringen in ein Windows-System sammelt VOLTA umfangreiche Daten: Browser-Passwörter, Cookies und gespeicherte Zahlungskarten aus Chromium und Firefox, E-Mail-Zugangsdaten aus Thunderbird und Outlook, Slack-Sitzungen, Daten aus Discord, Telegram, Steam, Battle.net und Roblox, Krypto-Wallet-Seed-Phrasen, Microsoft-OAuth-Token, SSH- und Cloud-Schlüssel, WLAN-Profile sowie Screenshots.

KI-Modelle als Sortierschicht

Nach der Exfiltration leitet VOLTA die Daten über OpenRouter an Modelle wie Claude, Gemini und Kimi weiter. Das Modell erstellt eine Opferakte mit einem Ranking nach Monetarisierungspotenzial und einer Einschätzung der Sicherheitslage des Ziels.

Verweigert ein Modell die Anfrage, versucht VOLTA automatisch mit bis zu zwei Alternativen weiter. Die KI-Schicht ist optional: Ohne API-Schlüssel werden die Rohdaten ohne Ranking übertragen.

Empfehlungen

Talos hat bislang keine groß angelegten VOLTA-Kampagnen dokumentiert, doch das Design signalisiert einen Trend: KI wird in kriminellen Toolchains eingesetzt, um den Ertrag aus gestohlenen Daten zu maximieren.

Talos empfiehlt, den Start von Chromium im Headless-Modus auf erlaubte Prozesse zu beschränken, unerwartete Starts zu melden und sensible Zugangsdaten in hardwaregestützten Speichern abzulegen.