Dieser Passwortdieb reicht Ihre Daten an ein KI-Modell weiter und fragt, was Sie wert sind
Infostealer waren immer Massenwerkzeuge. Tausende PCs infizieren, alles abziehen, die Logs kiloweise verkaufen und jemand anderen nach den guten Stücken graben lassen. VOLTA, das der Cisco-Talos-Forscher Ryan Fetterman in einem am 31. Oktober veröffentlichten Bericht analysiert hat, fügt einen Schritt hinzu: Wenn der Diebstahl erledigt ist, schreibt es ein Dossier über Sie. Das Sample tauchte erstmals am 11. Oktober auf und nennt sich selbst VOLTA-AUTODOXER.
Der Diebstahl selbst ist gründlich, aber nicht neu. Gespeicherte Passwörter, Cookies und Zahlungskarten aus Chrome-basierten Browsern, dazu Firefox und Thunderbird. Outlook-Profile und Slack-Workspaces. Angemeldete Sitzungen bei Discord, Telegram, Steam, Battle.net und Roblox. Microsoft-Anmeldetoken, Screenshots und jedes WLAN-Passwort, das der PC je gespeichert hat, plus ein Knackwerkzeug für Kryptowährungs-Wallet-Dateien. Dann kommt der seltsame Teil. Es nutzt Ihre gestohlene Gmail-Sitzung, um Ihren Posteingang nach Quittungen von Amazon, DoorDash, Uber Eats, Walmart und PayPal zu durchsuchen und so Ihre Wohnadresse zu bestätigen, und es schlägt den aktuellen Wiederverkaufswert Ihres Roblox-Inventars nach.
All das geht über einen Vermittlerdienst namens OpenRouter an ein gängiges KI-Modell, standardmäßig Claude Opus 4.6 von Anthropic, mit einem Systemprompt, der es als „einen forensischen Intelligence-Analysten, der eine Zielbewertung entwirft“ besetzt. Verweigert das Modell, prüft die Schadsoftware die Antwort auf Formulierungen wie „I can't“ und versucht es mit Kimi von Moonshot, dann mit Gemini von Google. Der angeforderte Bericht hat zwei Abschnitte: „WHAT THEY'RE WORTH“ (was sie wert sind), der Ihre Vermögenswerte als niedrig, mittel oder hoch einstuft, und „THEIR OPSEC“ (ihre operative Sicherheit), eine Note für Ihre Passwortgewohnheiten. Talos sagt es klar: Das Ziel „ist nicht Geschwindigkeit oder Größe, sondern die Verlagerung von Aufwand“. Herauszufinden, welche Opfer man zuerst ausnimmt, brauchte früher einen Menschen. Jetzt braucht es einen API-Aufruf. Talos hat keine bestätigten Opfer gemeldet, und das Baukasten-Design legt nahe, dass die Software zum Verkauf gedacht ist. Die Verteidigung ist langweilig und wirksam: Bewahren Sie keine Seed-Phrasen oder Passwörter in Klartextdateien auf, nutzen Sie einen Passwortmanager mit zweistufiger Anmeldung, und betrachten Sie jeden „gecrackten“ Download oder gefälschten Installer als den Lieferwagen, in dem so etwas ankommt.
Tendvanes Prüfung Datenschutz & Konten zeigt schnell, welche Ihrer Konten noch an einem einzigen Passwort hängen, und genau diese Schwäche soll ein Bericht wie dieser aufspüren.