VOLTA窃密木马：窃取会话凭证，调用大模型自动生成受害者画像

看雪学院 · 2026-11-02 17:59 · 6 阅读

看雪学苑 2026-11-02 17:59 上海

思科Talos团队近期曝光一款名为 VOLTA（VOLTA-AUTODOXER）的Windows窃密木马。和普通盗号工具不一样，它把AI变成了黑客的“情报分拣员”。

VOLTA 完整攻击链路（来源：Cisco Talos）

第一步：大范围收割账号会话

VOLTA会抓取Windows终端里各类账号凭证：

✅ 浏览器Cookie、密码、银行卡信息；

✅ Discord、Telegram、Steam、Slack、Roblox ；

✅ 邮箱、微软OAuth令牌、SSH密钥、WiFi密码、加密钱包。

它还会利用窃取到的Gmail、外卖平台会话，从订单记录扒出受害者住址；查询Roblox道具估值。依托绕过Chrome绑定加密的能力，拿到的会话令牌很多时候可以跳过密码、二次验证。

木马最终打包的三类外泄数据包（来源：Cisco Talos）

核心亮点：AI自动做目标评估

收集完信息后，木马生成一份受害者档案 Identity_Report.txt，通过OpenRouter网关发给大模型分析。要求AI输出两大内容：

调用顺序：Claude Opus 4.6 → 调用失败自动降级 Kimi K2 → Gemini 2.5 FlashAI分析结果保存为 AI_Analysis.txt，打包成压缩包外传。

木马执行完成后会自删除，增加查杀溯源难度。

黑产商业化：低门槛木马生成器

VOLTA是一套售卖的木马生成工具（Builder）。攻击者填入API密钥、Telegram接收通道，就能一键生成定制木马。受害者的AI评估报告，直接推送至攻击者Telegram。没有固定C2服务器，防守方无法简单拉黑IP阻断。

个人&企业防护建议

个人：不明来源exe不要运行；怀疑中招，在干净设备上重置所有密码、吊销令牌；加密资产尽快迁移新钱包；

运维：管控Chrome无头--headless启动参数；安全设备导入IOC进行检测。

之前已有Dolphin-X尝试AI筛选受害者，VOLTA方案更加成熟，代表黑产AI武器化正在落地。

链接域名已脱敏，仅在情报平台内还原使用。

球分享

球点赞

球在看

跳转微信打开

本文转载自微信公众号「看雪学院」，查看原文。版权归原作者所有，如有侵权请联系删除。