BUSINESSEntwicklung · · 2 Min. Lesezeit · Quelle: Cisco Talos
VOLTA: Schadsoftware lässt gestohlene Daten von KI bewerten
Cisco Talos hat am 31. Oktober 2026 die Windows-Schadsoftware VOLTA analysiert. Sie stiehlt Passwörter und Sitzungen und schickt das Ergebnis an KI-Modelle, die einschätzen, was das Opfer wert ist und wie gut es geschützt ist.
Das Wichtigste in Kürze
- Cisco Talos veröffentlichte seine Analyse von VOLTA am 31. Oktober 2026; die Probe wurde erstmals am 11. Oktober gesehen.
- VOLTA schickt Berichte über Opfer per OpenRouter an Sprachmodelle: Standard ist Claude Opus 4.6, Ersatz Kimi K2 und Gemini 2.5 Flash.
- Der KI-Schritt ist optional; Infektionsweg und Ziele beschreibt der Bericht nicht.
Was VOLTA stiehlt
Laut Talos sammelt die Schadsoftware unter anderem:
- im Browser gespeicherte Passwörter, Cookies und Zahlungskarten,
- Microsoft-Anmeldetoken, SSH- und Cloud-Schlüssel,
- Wiederherstellungsphrasen von Krypto-Wallets,
- Sitzungen von Diensten wie Discord und Telegram, dazu WLAN-Passwörter und Bildschirmfotos.
Danach nutzt sie gestohlene Zugänge weiter. Sie durchsucht etwa Gmail nach Belegen, um eine Wohnadresse zu bestätigen, und liest Bestellverläufe von Lieferdiensten aus.
Die Rolle der KI
Aus den Funden entsteht ein Bericht über das Opfer. Den schickt VOLTA über den Dienst OpenRouter an ein Sprachmodell, mit einer Anweisung, die dem Modell die Rolle eines forensischen Analysten gibt. Das Ergebnis soll aufführen, welche Werte sich am besten zu Geld machen lassen und wie sorgfältig das Opfer mit seiner Sicherheit umgeht.
Voreingestellt ist Claude Opus 4.6. Enthält die Antwort typische Ablehnungen, wechselt VOLTA zu Kimi K2 und danach zu Gemini 2.5 Flash. Der KI-Schritt ist optional: Ohne API-Schlüssel läuft die Schadsoftware trotzdem.
Talos ordnet das nüchtern ein: Die KI ersetzt hier Analysearbeit, die sonst ein Mensch erledigen würde. Sie macht den Diebstahl selbst nicht neu.
Was offen bleibt
Die Probe wurde laut Talos am 11. Oktober 2026 erstmals gesehen. Wie die Infektion abläuft und wen VOLTA gezielt angreift, beschreibt der Bericht nicht. Zahlen zu Opfern nennt er ebenfalls nicht. Offen bleibt auch, wie weit die Schadsoftware bisher verbreitet ist und ob Angreifer den KI-Schritt tatsächlich breit nutzen.
Was Talos empfiehlt
- Zugangsdaten in hardwaregestützten Speichern ablegen.
- Nach einem Verdacht Token widerrufen und Passwörter ändern.
- Für IT-Teams: Chrome-Starts im Modus „headless“ blockieren oder zumindest melden, wenn unbekannte Prozesse sie auslösen.
Was das für dich bedeutet
- Gestohlene Daten lassen sich jetzt schneller auswerten. Auch kleine Firmen und Einzelpersonen sind damit interessanter zu sortieren.
- Passwörter und Sitzungen im Browser sind das Hauptziel. Eine Anmeldung ist so viel wert wie das Gerät, auf dem sie liegt.
- Wer eine Infektion vermutet, sollte Sitzungen und Token beenden, nicht nur Passwörter ändern.
So nutzt du das
Prüfe heute, ob wichtige Passwörter nur im Browser liegen, und zieh sie in einen Passwort-Manager um. Aktiviere für E-Mail und Microsoft- oder Google-Konto eine zweite Anmeldestufe.
Luigis Einordnung
Im Marketing nennen wir das Lead-Scoring: Daten sammeln, anreichern, bewerten, dann um die wertvollsten Kontakte kümmern. Genau diese Logik baut VOLTA nach, nur mit gestohlenen Daten. Das sollte niemanden in Panik versetzen. Es zeigt aber, dass die Frage „Wer interessiert sich schon für mich?“ an Gewicht verliert, wenn die Bewertung fast nichts mehr kostet.
Mein Rat für kleine Teams: Fangt bei den Grundlagen an. Passwörter gehören in einen Passwort-Manager statt in den Browser, wichtige Konten bekommen eine zweite Anmeldestufe, und Zugangsschlüssel liegen nicht in Textdateien. Legt außerdem fest, wen ihr anruft, wenn ein Rechner komisch wirkt. Das klingt unspektakulär, ist aber genau der Teil, den ein Angreifer nicht für euch erledigt.
Quelle
Cisco Talos: Appraisal by AI: Model-driven victim prioritization in the VOLTA infostealer
Dieser Beitrag wurde mit KI-Unterstützung recherchiert und geschrieben. Verantwortlich: Luigi Lugmayr.
