VOLTA 信息窃取木马：人工智能驱动的受害者优先级排序与画像

VOLTA 信息窃取木马代表了网络犯罪的一次重大转变，从简单的数据窃取转向了自主的、人工智能驱动的受害者画像分析。通过将大语言模型（LLM）直接集成到窃取后的工作流程中，该恶意软件充当了自动化情报分析师的角色，将原始凭据日志转化为受害者资产和安全态势的优先级档案。

自动化受害者评估

VOLTA 的工作方式是撒网式窃取大量数据，包括浏览器凭据、加密货币钱包、会话令牌（Discord、Telegram、Steam、Roblox）以及云服务提供商密钥。数据被窃取后，恶意软件会将信息序列化为结构化包，并通过 OpenRouter API 发送给大语言模型。模型被指示充当法医分析师，生成一份“价值评估”报告，按变现价值对受害者资产进行分类，并评估其整体安全状况。

这一过程旨在取代人工劳动。通过自动化处理被窃取数据的分类，攻击者无需手动审查每台受损机器，即可将精力集中在高价值目标上。该恶意软件甚至通过使用窃取的会话查询 Gmail、UberEats 和 DoorDash 等服务来实时丰富数据，以核实家庭住址和消费习惯。

弹性多模型架构

为了确保分析在模型护栏限制下仍能成功，VOLTA 采用了复杂的故障转移机制。该恶意软件默认硬编码使用 Anthropic 的 Claude-Opus 4.6，但如果模型拒绝请求，它会自动级联切换到一系列替代模型，包括 Moonshot AI 的 Kimi-k2 和 Google 的 Gemini-2.5-flash。

这种多模型方法凸显了恶意软件开发的一个演变趋势：预判并绕过人工智能安全过滤器。使用较低的温度设置（0.2）进一步表明其专注于确定性、一致性的输出，确保生成的档案对操作者而言是可靠的。

部署与对策

VOLTA 以构建器模式分发，客户购买自定义二进制生成器的访问权限。这使得不同技术水平的操作者都能部署该恶意软件，并直接在他们的 Telegram 频道中接收受害者评估排名。由于该恶意软件具有自删除功能并依赖第三方基础设施，因此在主机上留下的痕迹极少。

防御者可以通过实施严格的应用程序控制策略来降低 VOLTA 的风险，特别是限制进程使用 --headless 标志启动 Chrome 的策略，这是绕过 App-Bound Encryption 的常用技术。如果怀疑受到攻击，安全团队应检查 %APPDATA%\volta_debug.txt 文件，该文件记录了恶意软件的收集和人工智能分析活动。

行业观点

围绕 VOLTA 发现的社区讨论强调了人们对现代网络威胁的速度和复杂性日益增长的担忧。评论者指出，将人工智能集成到恶意软件中可能会显著降低网络犯罪行动的准入门槛。

"随着我们‘开发’软件的速度越来越快，这种攻击的机会窗口似乎正在扩大。这让我想要拥有 5 台独立的电脑……面对一个能在 10 秒内窃取你整个数字生活的威胁，还有什么办法能保持安全呢？" — @akersten

其他人指出了自主智能体在恶意环境中的更广泛影响，认为我们正在进入一个“病毒风暴”时代，威胁的复杂性将需要更强大、更细分的安全架构。