Cisco Talos、窃取データをLLMに査定させるVOLTAを分析
VOLTAインフォスティーラーLLM悪用Cisco Talos認証情報窃取
Cisco Talosが、Windows向けインフォスティーラーVOLTAの分析を公開した。窃取した認証情報やウォレット情報を構造化してLLMに送り、被害者の資産を収益化価値の順に評価させる仕組みを備える。ブラウザ保存のパスワードやカード情報、SSH鍵、クラウド設定が対象で、制作・運用端末も影響範囲に入る。
何が発表されたか
- Cisco Talos が10月31日、Windows 向けインフォスティーラー「VOLTA」（VOLTA-AUTODOXER）の分析を公開した。自己削除型で、窃取後に任意で動く AI 処理層を持つ。
- VOLTA は収集データを構造化した「Identity_Report」として LLM に送り、被害者の資産を収益化価値の順にランク付けさせる。システムプロンプトはモデルに「標的評価書を作成するフォレンジック情報分析官」として振る舞うよう指示している。
- 送信先は OpenRouter のチャット補完 API。既定モデルは anthropic/claude-opus-4.6 で、フォールバックは moonshotai/kimi-k2、次に google/gemini-2.5-flash。拒否応答を検知すると次のモデルへ切り替える。
- 窃取対象は、Chromium 系ブラウザのパスワード・Cookie・保存カード、Firefox と Thunderbird のデータ、暗号資産ウォレット、Discord・Telegram・Steam・Battle.net・Roblox・Slack・Microsoft OAuth のセッションとトークン、SSH 鍵、クラウド設定ファイル、平文の Wi-Fi パスワード、スクリーンショット、位置情報など。
- API キーが無い場合は LLM 処理を省略する。Talos は攻撃者自身のインフラを確認しておらず、観測された接続先はすべて第三者サービスだとしている。
取るべき対応
- 影響を受けるのは、ブラウザに認証情報やカード情報を保存している Windows 端末の利用者。SSH 鍵やクラウド設定ファイルを置いている制作・運用端末は被害範囲が広がる。
- Talos の推奨は、アプリケーション制御で Chrome を
--headlessで起動できるプロセスを制限すること。これによりブラウザ暗号化の復号経路を断てる。未知のプロセスからのヘッドレス起動の検知も挙げている。 - 認証情報はハードウェアに裏付けられた保管先に置く。
- 侵害が疑われる場合は、収集ログが残る
%APPDATA%\volta_debug.txtを保全したうえで、トークンの失効とパスワード変更を行う。 - シードフレーズを平文でディスクに保存していた場合は、そのウォレットを侵害済みとして扱い、オフラインで生成した新しいウォレットへ資産を移す。