情報窃取マルウェアVOLTA、AIで被害者を値踏み

米シスコ・システムズの脅威調査部門Cisco Talosは2026年10月31日、Windows向け情報窃取マルウェア「VOLTA」が被害者ごとの身辺報告書を商用AIモデルに送り、盗んだ情報の「値踏み」をさせているとする分析を公表した。VOLTAはOpenRouter経由で既定ではAnthropicのClaude Opus 4.6に問い合わせ、拒否されると月之暗面（Moonshot AI）のKimi K2、グーグルのGemini 2.5 Flashへと順に切り替える。

要点

• VOLTAはLLMに、被害者の資産を換金しやすい順に並べた「WHAT THEY'RE WORTH」と、セキュリティ習慣を評価する「THEIR OPSEC」を書かせる。
• 応答に拒否の文言があれば最大3つのモデルを切り替える。Talosはこうした拒否対策が「標準的な設計要件になる可能性がある」とみる。
• 自己削除型で攻撃者所有のサーバーを使わず、遮断できるネットワーク上の痕跡がほとんどない。

情報窃取マルウェアVOLTAは何を盗むのか

TalosのRyan Fetterman氏によると、VOLTA（Talosは「VOLTA-AUTODOXER」とも呼ぶ）は64ビットのWindows実行ファイルである。ブラウザーのパスワードとCookie、保存済みのカード情報、Discord・Telegram・Steam・Robloxのセッション、マイクロソフトのOAuthトークン、SSH鍵やクラウドの鍵、Wi-Fiのパスワード、画面キャプチャ、暗号資産ウォレットのシードフレーズまで奪う。

続いて身辺報告書を作る。盗んだセッションでGmailを検索し、アマゾン、DoorDash、Uber Eats、Grubhub、ウォルマート、PayPalの領収書から自宅住所を確かめる。フードデリバリーの注文履歴を取得し、Robloxのアイテム相場もリアルタイムで調べる。報告書には勤務先、推定生年、カード番号の下4桁、Slackのワークスペースも載る。

AIに「この人物の価値」を問う仕組み

報告書はOpenRouterのチャットAPIに送られ、temperatureは0.2に設定されている。システムプロンプトはモデルに標的評価書を書くフォレンジック情報分析官の役を与え、「Go deep, not wide（広くではなく深く）」「Be blunt, specific, accurate（率直に、具体的に、正確に）」と指示する。回答はAI_Analysis.txtとして保存され、報告書とまとめて運営者に渡る。

応答に「I can't」「I'm not able」といった文言があれば、moonshotai/kimi-k2、次いでgoogle/gemini-2.5-flashに再度問い合わせる。

検体のコンパイル日時は2026年8月17日、Talosが記録した初観測日は10月11日だ。TelegramチャンネルやAPIキーなど6項目を差し替えられるテンプレート構造から、Talosは作者が購入者ごとに専用の実行ファイルを売る「ビルダー」販売型と評価している。

背景：AIがコマンドを書く段階から「査定」へ

グーグルの脅威インテリジェンスグループ（GTIG）は2025年11月、ロシアのAPT28と関連する「PROMPTSTEAL」を、実際の攻撃作戦でLLMに問い合わせた初のマルウェアとして報告した。Talosも9月22日、4つの商用モデルの投票で次の行動を決める「CLOSEDQUORUM」を公表している。

VOLTAはAIを分析作業に使う点が異なる。Talosは「VOLTAは成熟した窃取型マルウェアに、運営者の分析作業を肩代わりさせるという一つの目的のためにAI層を後付けしたものだ」とし、「ここでのAIによる進化の軸は速度や規模ではなく、労力の置き換えだ」と記した。

今後の見通しと対策

Talosは、Chromeをヘッドレスモードで起動できるプロセスをアプリケーション制御で制限し、不明なプロセスによるヘッドレスChromeの起動を警告対象にするよう勧める。認証情報はハードウェアで保護された保管先に置くべきだとする。インシデント対応では、何が盗まれ、AIへの問い合わせが成功したかが残る%APPDATA%\volta_debug.txtを保全し、トークンの失効とパスワード変更を行う。シードフレーズを平文で保存していたウォレットは完全に侵害されたとみなし、ネットワークから切り離した端末で作った新しいウォレットに資産を移すべきだという。

よくある質問

ClaudeなどのAIモデルは実際に攻撃者に協力したのか。

VOLTAはまずClaude Opus 4.6に問い合わせ、拒否を検知するとKimi K2、Gemini 2.5 Flashに移るよう作られている。Talosの報告はこの仕組みを説明しているが、各モデルがどの程度応じたかは示していない。

通信の遮断で防げるのか。

容易ではない。Talosによれば、観測された接続先はOpenRouterのAPIを含めすべて第三者が運営するもので、攻撃者所有のサーバーはない。ヘッドレスChromeの起動やマルウェアが書き出すファイルなど、振る舞いに基づく検知が必要になる。

参考資料

• Appraisal by AI: Model-driven victim prioritization in the VOLTA infostealer — Cisco Talos（2026年10月31日）
• GTIG AI Threat Tracker: Advances in Threat Actor Usage of AI Tools — Google Threat Intelligence Group（2025年11月5日）