Nový vírus VOLTA ti ukradne heslá, účty aj údaje o tebe. Potom cez AI vyhodnotí, čo sa útočníkovi oplatí speňažiť

VOLTA-AUTODOXER kradne z počítača heslá, cookies, údaje z platobných kariet či aktívne relácie a z nazbieraných dát vytvára profil obete. Ten cez službu OpenRouter odošle jazykovému modelu, ktorý vyhľadá účty, prístupy a ďalší majetok s potenciálne najvyššou hodnotou pre útočníka.

Na malvér upozornili bezpečnostní výskumníci z Cisco Talos, ktorí jeho analýzu zverejnili 31. októbra. VOLTA pritom zbiera rovnaký typ citlivých dát ako iné infostealery, no navyše ich automaticky triedi a prepája pomocou AI.

VOLTA si z počítača vytiahne aj Wi-Fi heslá, SSH kľúče a aktívne relácie

Cisco Talos vo vzorke našiel funkcie na krádež hesiel a cookies z prehliadačov založených na Chromiu, uložených platobných kariet, dát z Firefoxu a Thunderbirdu, profilov Outlooku aj údajov zo Slacku.

Pri Chromiu VOLTA spúšťa Chrome v režime headless a týmto spôsobom sa pokúša dostať aj k údajom chráneným mechanizmom App-Bound Encryption. Talos preto firmám odporúča obmedziť, ktoré procesy môžu Chrome v tomto režime spúšťať.

Malvér zbiera aj aktívne relácie zo služieb Discord, Telegram, Steam, Battle.net či Roblox, Microsoft OAuth tokeny, SSH kľúče a konfiguračné súbory cloudových služieb či VPN. Ukradnutá relácia môže útočníkovi umožniť vstúpiť do účtu bez hesla, podobný princíp sa objavil aj pri útokoch na Gmail, WhatsApp a ďalšie služby.

Súvisí s tým

Nový Android malvér Hirudo ti vymení bankovú aplikáciu za falošnú. Ukradne heslo, PIN a otvorí útočníkom cestu k tvojmu účtu

VOLTA prehľadáva aj súbory kryptopeňaženiek a seed frázy. Súčasťou analyzovanej vzorky je navyše cracker, ktorý skúša prelomiť chránené trezory nájdených peňaženiek. Z Windowsu vie vytiahnuť aj uložené heslá k Wi-Fi sieťam a popri tom vytvára snímky obrazovky napadnutého počítača.

Z ukradnutej Gmail relácie hľadá účtenky, adresu aj nákupy obete

S ukradnutou reláciou Gmailu VOLTA prehľadáva e-mailovú schránku a hľadá účtenky. Cisco Talos medzi sledovanými službami uvádza Amazon, PayPal, Walmart, DoorDash, Uber Eats či Grubhub. Z nájdených správ dokáže získať aj domácu adresu obete.

Ak sa dostane k relácii Uber Eats alebo DoorDash, načíta históriu objednávok. Pri Discorde opätovne používa ukradnutý token na získanie ďalších údajov o účte a pri Robloxe cez službu Rolimons zisťuje hodnotu virtuálneho inventára.

Do profilu potom zapisuje polohu a domácu adresu, zamestnávateľa, odhadovaný rok narodenia, posledné štyri číslice platobných kariet či informácie o pracovných účtoch.

AI vytvorí zoznam toho, čo sa útočníkovi oplatí speňažiť

Po zbere údajov VOLTA vytvorí súbor Identity_Report.txt a cez OpenRouter ho odošle jazykovému modelu. Požiadavka odchádza priamo z napadnutého počítača.

Prompt prikazuje modelu pripraviť hodnotenie konkrétnej obete. Súčasťou výstupu má byť aj sekcia „WHAT THEY’RE WORTH“, v ktorej AI vyberie cenné aktíva a rozdelí ich podľa možností speňaženia do kategórií nízkej, strednej a vysokej hodnoty.

Model zároveň pracuje s heslami a ďalšími údajmi, z ktorých hodnotí bezpečnostné návyky obete. VOLTA pritom funguje aj bez tejto AI vrstvy, v takom prípade ukradnuté dáta iba zozbiera a odošle.

Podobný prístup sa objavil aj pri nástroji CLOSEDQUORUM, kde AI priamo vo vnútri malvéru rozhoduje o ďalších krokoch útoku. Pri VOLTE slúži model najmä na spracovanie už ukradnutých údajov.

Keď Claude odmietne požiadavku, VOLTA skúsi Kimi alebo Gemini

VOLTA kontroluje odpoveď jazykového modelu a vyhľadáva formulácie typické pre odmietnutie požiadavky. Ak ich nájde alebo volanie zlyhá, automaticky skúsi ďalší model.

V analyzovanej konfigurácii je ako prvý nastavený Claude Opus 4.6, po ňom Kimi K2 a napokon Gemini 2.5 Flash.

Ak sa AI analýza nespustí alebo zlyhá, VOLTA pokračuje bez nej a ukradnuté údaje odošle aj bez vytvoreného hodnotenia obete.

Výsledok AI uloží do AI_Analysis.txt a archívy odošle cez Telegram

Výstup jazykového modelu VOLTA uloží do súboru AI_Analysis.txt. Prompt modelu zároveň prikazuje hľadať súvislosti medzi jednotlivými údajmi. Cisco Talos uvádza napríklad prepájanie mien, adries či univerzít spojených s obeťou s výrazmi, ktoré používa vo svojich heslách.

Ukradnuté dáta následne odosiela cez Telegram. Talos opisuje archív volta_log.zip vytvorený po zbere údajov, volta_dox.zip obsahujúci výsledky AI analýzy a vytvorený profil obete a pri získaní ďalších údajov z online služieb aj volta_doxnet.zip.

Talos zatiaľ nevie, ako sa VOLTA dostáva do počítača

Cisco Talos zachytil analyzovanú vzorku VOLTA-AUTODOXER prvýkrát 11. októbra 2026. Je určená pre 64-bitový Windows. Ako sa dostáva do počítača, výskumníci zatiaľ nevedia. Talos vo svojej analýze neuvádza phishingovú kampaň, škodlivú reklamu, zneužitú zraniteľnosť ani inú konkrétnu cestu prvotnej infekcie.

V malvéri našli aj šablónu, v ktorej sa dajú meniť API kľúče a údaje pre komunikáciu cez Telegram. Talos ju prirovnáva k builder modelu, z ktorého možno vytvárať rôzne verzie malvéru pre jednotlivých operátorov. Autor ani skupina stojaca za VOLTOU však známi nie sú.

Cisco Talos nezverejnil počet obetí a podľa WIRED nesledoval, či bola VOLTA použitá v reálnych útokoch. Nie je známe ani to, či sa predáva ako služba alebo ju používa viacero útočníkov.

Spustiteľný súbor VOLTA zmaže, v AppData zostane volta_debug.txt

Po dokončení činnosti sa VOLTA dokáže sama odstrániť, takže jej hlavný spustiteľný súbor už pri neskoršej kontrole počítača nemusí byť na disku.

Cisco Talos preto upozorňuje na súbor %APPDATA%\volta_debug.txt. Obsahuje časový záznam zberu údajov a môže ukázať, čo malvér získal a či spustil aj analýzu cez jazykový model.

Ak sa VOLTA dostala k aktívnym reláciám alebo tokenom, treba ich zrušiť a následne zmeniť heslá dotknutých účtov z čistého zariadenia. Samotná zmena hesla nemusí zneplatniť každú už ukradnutú reláciu.

Pri nájdenej seed fráze uloženej v počítači ako obyčajný text Talos odporúča považovať kryptopeňaženku za kompromitovanú. Prostriedky by v takom prípade mali ísť do novej peňaženky s novou seed frázou.