VOLTA、盗んだ情報からAIで人物像と資産価値を分析

Cisco Talosは10月31日、Windows向け情報窃取マルウェア「VOLTA」の調査結果を公開しました。盗んだ情報からAIで人物像や資産を分析する機能を備え、SteamやDiscordのセッション情報も窃取対象としています。

盗まれたログイン状態で、メールや注文履歴にもアクセス

Talosによると、VOLTAはブラウザーに保存されたパスワードやCookieのほか、Steam、Discord、Robloxなどのセッション情報を収集します。セッション情報は、ログイン済みの状態でサービスを利用するためのものです。保存されたパスワードとは別に、アカウントへのアクセスに悪用されるおそれがあります。

窃取後には、盗んだGmailの認証情報で領収書を探し、Uber EatsやDoorDashの注文履歴も取得して、自宅住所の裏付けに利用します。Discordのアカウント情報を補い、Robloxの所持アイテムの価値を調べる処理もあります。各サービスのサーバーへの侵入を報告したものではなく、盗まれた利用者側のログイン状態を悪用する仕組みです。

AIの役割は、窃取した情報の整理と資産の評価

集めた情報をまとめたデータは、OpenRouterを通じて外部の大規模言語モデルに送られます。モデルは資産を換金価値に応じて順位付けし、パスワードの使い方などからセキュリティ対策の状況も評価します。勤務先や年齢などを推定した人物像も含まれますが、その内容がすべて正しいとは限りません。

AIによる分析は、情報を盗んだ後の追加工程です。必要なAPIキーがなければ、この工程なしでも動作できます。Talosは、モデルの回答拒否を検知して別のモデルに切り替える仕組みも報告していますが、すべてのモデルが実際に応じたと示されたわけではありません。

パスワード変更とトークン失効、残ったログの保全を

感染が疑われる場合、Talosは漏えいした可能性のあるトークンを失効させ、パスワードも変更するよう勧めています。パスワードを変えるだけで、盗まれたセッションも必ず無効になるとは限りません。ログイン済みのアクセスを取り消す対応も必要です。

VOLTAは本体を自己削除する一方、収集した情報やAIへの問い合わせの成否を記録した「volta_debug.txt」が残る場合があります。見つかった場合は削除せず、調査の証拠として保全することが勧められています。