新型 Windows 惡意軟體曝光，利用 Claude 評估資料價值後自動刪除
根據思科（Cisco）旗下威脅情報團隊 Talos 的報告指出，一款自稱為 VOLTA-AUTODOXER 的新型 Windows 惡意軟體，搜刮電腦的資料後，會建立結構化的受害者檔案，並判斷受害者有哪些具有價值的資產，最後再把資料與分析傳給攻擊者。
VOLTA 會先搜刮電腦，竊取瀏覽器密碼、Cookie、已登入服務的憑證、信用卡資料、加密貨幣錢包，以及 SSH 與雲端服務相關金鑰，而所有儲存的 Wi-Fi 密碼會以純文字形式被提取。接著，VOLTA 會建立結構化證據包，包含地理位置與住家地址、信用卡後四碼、雇主與公司網域、推斷的出生年份、文件作者後設資料等。
VOLTA 還會利用竊得的連線階段進行資料擴充，如同用偷來的帳號深入調查受害者。VOLTA 會搜尋受害者的 Gmail，從亞馬遜、DoorDash、Uber Eats、Grubhub、PayPal 及沃爾瑪的收據確認住家地址，抓取 Uber Eats 和 DoorDash 的訂購紀錄，利用竊得的 Discord token 來補齊受害者檔案，也透過 Rolimons 估算 Roblox 道具的價值。將住址、雇主、帳號、資產等線索整理在一起，使受害者檔案更齊全。
從竊取清單來看，VOLTA 似乎與一般的竊密軟體大同小異，但經過上述這道資料擴充程序，可將被動資料轉變成極具威脅的武器。
接下來，VOLTA 透過 OpenRouter 呼叫模型，把受害者檔案傳給模型，系統提示詞則要模型扮演「鑑識情報分析師」角色，要求依據資產價值排列高、中、低，評估受害者的密碼習慣與安全防護。
值得一提的是，VOLTA 預設使用 Anthropic 的 Claude Opus 4.6，當遇到拒答時，會依序切換至月之暗面的 Kimi K2、Google 的 Gemini 2.5 Flash 兩款模型，嘗試更換模型繼續評估。
最後會把受害者的資料與分析傳給攻擊者，從受害者電腦與網路傳出，主執行檔可能會自動刪除。但受害者應保留 volta_debug.txt 檔案，這個檔案是紀錄檔，記錄下收集到的內容以及模型呼叫是否成功。
Talos 團隊認為，VOLTA 是一款成熟的資訊竊取軟體，並在後端疊加 AI 層，唯一目的就是減輕攻擊者進行分析的工作負擔。VOLTA 包含了一套從 Claude、Kimi 再到 Gemini 的備援機制，遇模型拒絕回應即切換，且在金鑰不存在時，具備完全跳過模型階段直接執行的能力。隨著惡意軟體與 AI 的整合日趨成熟，抵抗模型拒絕回應的能力可能會成為惡意軟體的標準要求。
▲ VOLTA 從竊取帳密等資料、拼湊受害者身分，到選擇性使用 AI 評估資產價值，最後將資料外傳並自行刪除的完整流程。
（圖片來源：Talos）