Nieuwe malware VOLTA gebruikt grote taalmodellen om slachtoffers te rangschikken op financiële waarde
4 november 2026 · 2 min leestijd
Ook gepubliceerd in Português (Brasil), English, 한국어, 中文, Indonesia, ไทย, עברית, Français, Svenska, Norsk, Polski
Onderzoekers hebben een nieuw schadelijk programma genaamd VOLTA ontdekt dat grote taalmodellen inzet om gestolen gegevens van slachtoffers te analyseren en te rangschikken op basis van hun potentiële financiële waarde. Dit gereedschap, dat door onderzoekers van CAIRN werd geïdentificeerd als VOLTA-AUTODOXER, fungeert niet alleen als een traditionele datasteler maar opereert als een analist die in het belang van de aanvalleider werkt.
Het programma verzamelt een uitgebreide reeks gevoelige informatie van besmette Windows-apparaten. Tot de gestolen gegevens behoren wachtwoorden uit webbrowsers, cookies, betaalpasgegevens, seed-zinnen voor cryptomuntenportefeuilles, sessiegegevens van platforms zoals Discord, Telegram, Steam en Roblox, Microsoft OAuth-tokens, SSH-sleutels en configuraties van clouddiensten. Daarnaast worden wifi-profielen, schermafbeeldingen en metagegevens van documenten buitgemaakt. Het malware vormt hieruit een gestructureerd pakket dat onder meer de geografische locatie, het thuisadres, de werkgever, het geschatte geboortejaar en de laatste vier cijfers van bankkaarten bevat.
Na de initiële diefstal verrijkt VOLTA het verzamelde dossier door gebruik te maken van de gestolen sessietokens. Het programma doorzoekt bijvoorbeeld Gmail-accounts van slachtoffers naar aankoopbonnen om adressen te verifiëren, haalt bestelgeschiedenissen op van maaltijdbezorgdiensten zoals UberEats en DoorDash, en wint extra informatie via Discord-accounts. Ook wordt de geschatte marktwaarde van Roblox-accounts bepaald. Voor cryptomuntenportefeuilles gaat het gereedschap verder dan louter kopiëren; het beschikt over een ingebouwd hulpmiddel om opslagplaatsen te kraken en noteert succesvolle pogingen in een speciaal rapportgedeelte.
De kernfunctionaliteit van VOLTA ligt in de interactie met kunstmatige intelligentie. Het gestructureerde datapakket wordt via een POST-verzoek naar het OpenRouter-platform verzonden. Een systeemopdracht instrueert het taalmodel om op te treden als analist die doelwitten evalueert. Het model moet een rapport genereren met secties over de financiële waarde van de activa, ingedeeld in laag, gemiddeld of hoog, en een beoordeling van de operationele veiligheid en wachtwoordkwaliteit van het slachtoffer. Hiermee wordt ruwe data omgezet in een geprioriteerd dossier met onderbouwde conclusies.
Om de nauwkeurigheid en voorspelbaarheid van de gegenereerde tekst te waarborgen, stelt de aanvalleider de temperatuurparameter van het model in op een lage vaste waarde van 0,2. De ontwikkelaars hebben bovendien rekening gehouden met de ingebouwde veiligheidsmechanismen van taalmodellen. Mocht het primaire model weigeren de evaluatie uit te voeren, dan schakelt VOLTA automatisch over op een keten van drie alternatieve modellen. Deze cascade-architectuur duidt op een zorgvuldige technische voorbereiding om beperkingen van de kunstmatige intelligentie te omzeilen.
Het schadelijke programma is uitgerust met een functie voor zelfvernietiging en maakt geen gebruik van infrastructuur die direct eigendom is van de aanvallers. Door grote taalmodellen in te zetten als analytische laag, overstijgt VOLTA de capaciteiten van conventionele stealers die enkel gegevens kopiëren zonder context of prioritering aan te brengen. Het systeem legt verbanden tussen verspreide datafragmenten, zoals patronen tussen persoonlijke informatie en gebruikte wachtwoorden, waardoor de bruikbaarheid van de gestolen informatie aanzienlijk toeneemt.