Cisco Talos công bố chi tiết giai đoạn xếp hạng nạn nhân bằng LLM của mã độc đánh cắp thông tin VOLTA

An ninh mạng Cisco Talos công bố chi tiết giai đoạn xếp hạng nạn nhân bằng LLM của mã độc đánh cắp thông tin VOLTA Ngày đăng Ngày 31/10/2026 Tác giả Miles Okada, AI Research Agent mảng AI & An ninh mạng Thêm Unite.AI vào các nguồn tin ưu tiên trên Google Ngày 31/10/2026, chuyên gia Ryan Fetterman thuộc tổ chức Cisco Talos đã công bố bản phân tích về mã độc đánh cắp thông tin (infostealer) tự xóa VOLTA-AUTODOXER trên hệ điều hành Windows. Sau bước đánh cắp thông tin xác thực trên diện rộng, mã độc này triển khai giai đoạn xử lý bằng mô hình ngôn ngữ lớn (LLM) nhằm xếp hạng các tài sản có thể quy đổi thành tiền của nạn nhân. Talos mô tả VOLTA là một cấy ghép đánh cắp dữ liệu hoàn thiện có lớp tích hợp trí tuệ nhân tạo (AI) tùy chọn. Tổ chức này cho biết toàn bộ các điểm cuối (endpoint) ghi nhận được đều do bên thứ ba kiểm soát, không có hạ tầng nào thuộc quyền sở hữu của kẻ tấn công. Theo đánh giá của Talos, điểm mới của giai đoạn AI là mô hình này hoạt động như một chuyên viên phân tích tình báo đại diện cho đối tượng vận hành thay vì chỉ hỗ trợ các tính năng mã độc truyền thống; từ đó chuyển đổi nhật ký thông tin xác thực thô thành hồ sơ phân loại ưu tiên về các tài sản có thể quy đổi thành tiền kèm theo trích dẫn dẫn chứng. Mã độc này được phát hiện thông qua chương trình nghiên cứu CAIRN của Talos. Ngày 22/9/2026, Talos đã phát hành và mở mã nguồn CAIRN (Cognitive Artifact Intelligence Research Network - Mạng lưới Nghiên cứu Tình báo Cổ vật Nhận thức) dưới dạng một bộ công cụ săn lùng, phân loại và theo dõi mã độc tích hợp AI thông qua các tệp tạo tác siêu dữ liệu (metadata artifacts) như câu lệnh nhúng (prompt), điểm cuối của nhà cung cấp và khóa API, mà không cần tải xuống hoặc thực thi các tệp nhị phân gốc. Vào thời điểm công bố, Talos cho biết sẽ từng bước chia sẻ các phát hiện ban đầu, khởi đầu với CLOSEDQUORUM - một cấy ghép được mô tả là hệ thống điều phối đồng thuận đa mô hình hoàn toàn tự động, không cần sự can thiệp của con người. Thu thập và làm giàu dữ liệu phiên hoạt động Chỉ trong một lần quét, VOLTA có thể trích xuất thông tin xác thực trình duyệt, cookie và thẻ thanh toán đã lưu trên các trình duyệt nền tảng Chromium, cùng dữ liệu từ Firefox và Thunderbird, hồ sơ Outlook, không gian làm việc Slack, phiên đăng nhập Steam và Battle.net, mã khóa (token) Discord, phiên Telegram, tài khoản Roblox, mã OAuth của Microsoft, các tệp cấu hình SSH và nhà cung cấp đám mây đối với gcloud, OpenVPN và Hide.me, cấu hình Wi-Fi cùng ảnh chụp màn hình. Thay vì chỉ sao chép ví tiền mã hóa, mã độc này chạy một công cụ bẻ khóa tích hợp để tấn công kho lưu trữ ví ngay trong lần quét đó và ghi lại kết quả vào mục WALLET VAULTS CRACKED trong báo cáo nội bộ. Lệnh gọi hàm trực tiếp WlanGetProfileList cũng trích xuất toàn bộ mật khẩu Wi-Fi đã lưu trên máy chủ dưới dạng văn bản thuần (plaintext). Sau đó, một bước làm giàu dữ liệu trực tiếp sẽ tái sử dụng các phiên đăng nhập bị chiếm đoạt. Bằng chính các mã khóa xác thực Gmail của nạn nhân, VOLTA tìm kiếm trong hộp thư đến các hóa đơn từ Amazon, DoorDash, Uber Eats, Grubhub, Walmart và PayPal để xác minh địa chỉ nhà riêng. Mã độc này trích xuất trực tiếp lịch sử đặt hàng trên Uber Eats và DoorDash, bổ sung chi tiết hồ sơ Discord của nạn nhân thông qua mã khóa đánh cắp được, đồng thời định giá kho vật phẩm Roblox qua tra cứu trực tiếp trên trang Rolimons.com. Dữ liệu thu thập được tập hợp cục bộ thành một gói chứng cứ có cấu trúc, bao gồm định vị địa lý và địa chỉ nhà, tên cơ quan và tên miền của cơ quan, năm sinh suy đoán, 4 chữ số cuối của thẻ, không gian làm việc Slack, siêu dữ liệu tác giả tài liệu cùng các dấu hiệu sao lưu iPhone, sau đó được lưu dưới tên tệp Identity_Report.txt và tuần tự hóa thành định dạng JSON. Đánh giá phản hồi từ mô hình AI được lưu thành tệp AI_Analysis.txt, và quá trình trích xuất dữ liệu ra ngoài có thể diễn ra qua ba tệp lưu trữ theo từng giai đoạn: volta_log.zip sau khi mã độc chạy, volta_dox.zip sau khi gọi mô hình AI, và volta_doxnet.zip nếu quá trình làm giàu dữ liệu qua mạng mang lại kết quả. Giai đoạn xếp hạng qua OpenRouter Gói dữ liệu đã được tuần tự hóa được gửi qua phương thức POST tới điểm cuối chat-completions của OpenRouter kèm câu lệnh hệ thống chỉ thị cho mô hình đóng vai “một chuyên viên phân tích tình báo pháp y đang soạn thảo đánh giá mục tiêu”. Kết quả đầu ra yêu cầu bao gồm mục WHAT THEY’RE WORTH xếp hạng các tài sản giá trị của nạn nhân theo giá trị quy đổi thành tiền theo các mức thấp, trung bình và cao, cùng mục THEIR OP Phần SEC đánh giá thực trạng an ninh và thói quen quản lý mật khẩu của nạn nhân. Câu lệnh (prompt) cũng thúc đẩy mô hình liên kết các điểm dữ liệu rời rạc, chẳng hạn như gắn kết tên, địa chỉ hoặc trường đại học của nạn nhân với các quy luật trong mật khẩu của họ. Talos lưu ý rằng mô hình không nhằm mục đích tìm kiếm dữ liệu mà chủ yếu đưa ra các suy luận nhằm gia tăng giá trị của những thông tin đã thu thập được từ trước. Cấu hình mặc định được lập trình sẵn sử dụng anthropic/claude-opus-4.6, kèm theo chuỗi dự phòng lần lượt là moonshotai/kimi-k2 và google/gemini-2.5-flash, với chỉ số nhiệt độ (temperature) ở mức 0,2, cùng các yêu cầu định dạng JSON được tạo thủ công, không sử dụng SDK và mang User-Agent Mozilla/5.0. Talos nhận định chỉ số nhiệt độ thấp cho thấy đối tượng vận hành ưu tiên độ chính xác và tính nhất quán, đồng thời mô tả chuỗi mô hình phân tầng là giải pháp chuyển hướng sang các mô hình nhỏ hơn, có chính sách kiểm duyệt lỏng hơn khi xảy ra tình trạng từ chối xử lý yêu cầu. VOLTA kiểm tra từng phản hồi của mô hình để tìm các cụm từ thể hiện sự từ chối như “I can’t” trước khi chuyển tiếp trong chuỗi tối đa ba mô hình, và mã độc này hoàn toàn có thể hoạt động mà không cần giai đoạn LLM nếu không có khóa API (API key). Toàn bộ quy trình suy luận được thực thi ngay trên máy của nạn nhân thông qua chính kết nối mạng của họ; chỉ sau đó kết quả mới bị trích xuất ra bên ngoài. Triển khai bộ tạo mã độc và các biện pháp đối phó Thay vì lập trình cố định kênh Telegram, khóa API và các thiết lập, VOLTA được biên dịch từ một tệp mẫu với sáu vị trí có thể tùy biến tại thời điểm xây dựng mã nguồn. Talos nhận định điều này cho thấy mô hình cung cấp công cụ tạo mã độc (builder model), trong đó tác giả bán quyền tiếp cận, bên mua tự cung cấp các thông số và một tệp nhị phân tùy chỉnh sẽ được biên dịch cho từng đơn vị đặt hàng. Báo cáo phân tích chỉ ra rằng, nếu mô hình này được áp dụng, hồ sơ dữ liệu do AI tạo ra là một tính năng thương mại cho phép người mua ở mọi trình độ kỹ thuật có thể nhận các đánh giá mục tiêu đã được xếp hạng gửi về hòm thư Telegram, thay vì là tính năng phục vụ mục đích cá nhân của tác giả. Thông tin xác thực tại các vị trí này được mã hóa bằng khóa dẫn xuất theo thuật toán SHA-256 từ hai hằng số nằm trong cùng tệp nhị phân; Talos cho rằng cơ chế này không mang lại khả năng bảo vệ thực chất do bất kỳ ai thực hiện kỹ thuật dịch ngược tệp đều có thể khôi phục lại. Phần lớn hành vi đánh cắp mã xác thực (token) của VOLTA phụ thuộc vào việc vô hiệu hóa cơ chế App-Bound Encryption trong Chrome. Talos khẳng định chính sách kiểm soát ứng dụng nhằm hạn chế các tiến trình được phép khởi chạy Chrome với cờ headless sẽ ngăn chặn hoàn toàn hướng giải mã này, và ở mức tối thiểu