Schadsoftware fragt KI, wer sich lohnt: Wallets und Karten im Visier
Cisco Talos beschreibt die Windows-Schadsoftware VOLTA, die gestohlene Daten an ein Sprachmodell schickt und die Beute nach ihrem Wert sortieren lässt.
Kriminelle nutzen KI nicht mehr nur für glaubwürdigere Phishing-Mails, sondern zur Auswertung der Beute. Wer viele Zugänge und Krypto-Daten auf einem Rechner speichert, wird schneller als lohnendes Ziel erkannt.
Was passiert ist
Die Analyse veröffentlichte der Sicherheitsforscher Ryan Fetterman von Cisco Talos am 31. Oktober, die untersuchte Probe tauchte erstmals am 11. Oktober auf. VOLTA stiehlt Passwörter und Cookies aus Chromium-Browsern, dort gespeicherte Zahlungskarten, Seed-Phrasen und Daten von Krypto-Wallets, Microsoft-Anmeldetoken, SSH- und Cloud-Schlüssel sowie WLAN-Passwörter und Bildschirmfotos. Danach baut die Software ein Dossier: Wohnort, Arbeitgeber, geschätztes Geburtsjahr, die letzten vier Ziffern der Karte. Mit gestohlenen Sitzungen durchsucht sie Gmail nach Kaufbelegen, um die Wohnadresse zu bestätigen. Das Paket geht über den Vermittlungsdienst OpenRouter standardmäßig an Claude Opus 4.6; verweigert ein Modell, folgen Kimi K2 und Gemini 2.5 Flash. Heraus kommt eine Rangliste der Werte nach niedrig, mittel und hoch. Der KI-Schritt ist optional, ohne Schlüssel läuft die Schadsoftware trotzdem. Talos vermutet einen Baukasten, der an Kunden verkauft wird. Opferzahlen nennt Talos nicht. Einordnung: Die KI macht den Diebstahl nicht erst möglich, sie macht die Sortierung der Beute billig.
Was daraus folgt
Wenn das Auswerten gestohlener Daten fast nichts mehr kostet, lohnt sich Masse. Ein einziger infizierter Firmenlaptop liefert dann nicht nur Passwörter, sondern eine sortierte Liste der wertvollsten Zugänge, etwa Cloud-Schlüssel und Microsoft-Token. Für Privatleute steigt das Risiko, wenn Seed-Phrasen im Klartext oder Zahlungskarten im Browser liegen. Bemerkenswert ist der Wechsel zwischen Modellen: Lehnt ein Anbieter ab, springt der nächste ein. Schutzfilter eines einzelnen Herstellers stoppen solche Werkzeuge deshalb kaum. Einordnung: Wie verbreitet VOLTA ist, lässt sich aus der Analyse nicht ablesen; belegt ist das Muster, nicht das Ausmaß.
Was sich konkret ändert
- Nutzer
- Seed-Phrasen nie als Text oder im Browser speichern, gespeicherte Zahlungskarten prüfen. VOLTA sucht gezielt danach.
- IT-Abteilungen
- Talos rät, Zugangsdaten hardwaregestützt zu speichern und Starts von Chrome im Headless-Modus durch unbekannte Programme zu melden.
- Unternehmen
- Nach einer Infektion Token widerrufen und Passwörter ändern. Die KI-Rangliste zeigt Angreifern, welche Firmenzugänge sie zuerst nutzen.
Worauf zu achten ist
- Ob Talos oder andere Sicherheitsfirmen Opferzahlen nennen
- Reaktion von OpenRouter und Modellanbietern auf missbrauchte Schlüssel
- Weitere Schadsoftware-Baukästen mit KI-Auswertung
Quellen
- Cisco Talos: Appraisal by AI – model-driven victim prioritization in the VOLTA infostealer
- The Hacker News: New VOLTA Infostealer Uses Claude, Gemini, and Kimi AI to Rank Victims
- GBHackers: VOLTA Infostealer uses AI to profile victims