VOLTA: Wie KI gestohlene Daten nach Beute sortiert

Der Windows-Schädling VOLTA stiehlt nicht nur Zugangsdaten und andere persönliche Informationen. Er schickt die gesammelten Daten auch an ein KI-Modell, das einschätzen soll, welche Beute sich am ehesten zu Geld machen lässt. Cisco Talos beschrieb die Schadsoftware Ende Oktober 2026. Für Betroffene heißt das: Viele verstreute Daten können in ein gezieltes Profil einfließen.

Was VOLTA mit den gestohlenen Daten macht

Erst sammeln, dann ein Opferprofil erstellen

VOLTA nennt sich im eigenen Code “VOLTA-AUTODOXER”. Laut Cisco Talos sammelt der Windows-Infostealer gespeicherte Passwörter, Cookies und Zahlungsdaten aus Browsern. Hinzu kommen unter anderem Krypto-Wallet-Daten, Microsoft-Anmeldetokens, SSH- und Cloud-Zugangsdaten, gespeicherte WLAN-Passwörter sowie Sitzungsdaten für Dienste wie Discord, Telegram, Steam und Roblox. Auch Screenshots kann die Schadsoftware erfassen.

Aus den Fundstücken erstellt VOLTA eine strukturierte Datei. Das Profil kann zum Beispiel Standort und Wohnadresse, Arbeitgeber, geschätztes Geburtsjahr, die letzten vier Ziffern einer Zahlungskarte und Informationen über Slack-Arbeitsbereiche enthalten. VOLTA sucht zudem in bereits angemeldeten Konten nach weiteren Hinweisen. So kann die Schadsoftware Gmail-Belege heranziehen, um eine Adresse zu bestätigen, und Bestellverläufe von Uber Eats oder DoorDash auslesen.

KI ordnet mögliche Beute nach Wert

Das Datenpaket geht über den Dienst OpenRouter an ein Sprachmodell. Die Anweisung: Es soll wie ein forensischer Analyst ein Zielprofil erstellen und die gefundenen Werte nach ihrer möglichen Verwertbarkeit einstufen. Die Kategorien lauten niedrig, mittel und hoch. Außerdem soll das Modell die Sicherheitsgewohnheiten und den Umgang mit Passwörtern des Opfers bewerten.

Standardmäßig fragt VOLTA laut Talos Claude Opus 4.6 von Anthropic ab. Falls das Modell die Anfrage ablehnt, versucht die Schadsoftware es mit Kimi K2 von Moonshot AI und danach mit Gemini 2.5 Flash von Google. Die Einschätzung wird zusammen mit dem gestohlenen Profil verpackt. VOLTA kann die Ergebnisse über Telegram melden. Talos zufolge löscht sich die Schadsoftware nach ihrer Ausführung selbst; das macht einen bereits erfolgten Datendiebstahl jedoch nicht rückgängig.

Warum das auch für Privatkonten zählt

Viele kleine Hinweise ergeben ein detailliertes Bild

Ein einzelnes gespeichertes Passwort ist nicht die einzige mögliche Gefahr. VOLTA kann unterschiedliche Datenquellen zusammenführen: eine Lieferadresse aus Bestellbelegen, Zugangsdaten aus dem Browser, eine Sitzung in einem sozialen Dienst und Hinweise aus Dokumenten. Das Modell soll laut den untersuchten Anweisungen auch Beziehungen zwischen solchen Details erkennen. Dadurch können Informationen, die für sich genommen harmlos wirken, zusammen ein genaueres Bild einer Person ergeben.

Besonders betroffen sein können Konten, die Zugang zu weiteren Diensten eröffnen. Dazu zählen E-Mail-Konten, Cloud-Zugänge und Microsoft-Tokens. Auch Zahlungsdaten und Krypto-Wallets stehen im Fokus der Datensammlung. Die folgende Übersicht zeigt, welche Funde Talos beschreibt und welche Konten Betroffene bei einem Verdacht zuerst prüfen können.

Datentyp	Beispiele bei VOLTA	Prüfen
Anmeldedaten	Browser-Passwörter, Cookies	Betroffene Konten
Zugänge	E-Mail, Cloud, Microsoft	Aktive Sitzungen
Zahlungen	Karten, Wallet-Daten	Karten und Wallets
Persönliche Hinweise	Belege, Standort, Screenshots	E-Mail und Geräte

Kein Hinweis auf einen einzelnen Täterkreis

Talos beschreibt VOLTA als Werkzeug, das über eine Vorlage für verschiedene Kunden angepasst werden kann. Die Käufer können demnach eigene Einstellungen eintragen lassen, statt alle dieselbe fertige Version zu verwenden. Das erschwert es, von einem untersuchten Exemplar auf einen einzelnen Betreiber zu schließen. Laut den vorliegenden Berichten nutzt VOLTA außerdem Dienste Dritter und keine eigene Infrastruktur des Angreifers. Eine Aussage dazu, wie häufig die Schadsoftware eingesetzt wird, lässt sich aus den Angaben nicht ableiten.

Was Sie bei einem Verdacht tun können

Konten zuerst von einem sauberen Gerät sichern

Wenn ein Windows-PC verdächtige Aktivitäten zeigt oder eine Sicherheitssoftware einen Infostealer meldet, ändern Sie wichtige Passwörter möglichst von einem anderen, vertrauenswürdigen Gerät aus. Beginnen Sie mit dem E-Mail-Konto, denn darüber lassen sich oft weitere Konten verwalten. Prüfen Sie bei wichtigen Diensten die angemeldeten Geräte und beenden Sie Sitzungen, die Sie nicht zuordnen können. Aktualisieren Sie anschließend die Passwörter für Zahlungs-, Cloud- und Arbeitskonten.

1. E-Mail und Kontozugänge prüfen: Ändern Sie Passwörter und melden Sie unbekannte Sitzungen ab. Achten Sie auf ungewöhnliche Änderungen an Wiederherstellungsdaten.
2. Zahlungen kontrollieren: Prüfen Sie Kartenumsätze und wenden Sie sich bei verdächtigen Buchungen an den Kartenanbieter.
3. Arbeitszugänge melden: Informieren Sie die IT-Abteilung, wenn Firmenkonten, Slack, Cloud-Zugänge oder SSH-Schlüssel auf dem Gerät gespeichert waren.
4. Krypto-Wallets gesondert behandeln: Wenn Wallet-Zugangsdaten oder Seed-Phrasen betroffen sein könnten, holen Sie sich Hilfe über einen vertrauenswürdigen Sicherheitskanal. Geben Sie die Seed-Phrase nicht an Personen weiter, die Sie kontaktieren.

Gerät und gespeicherte Zugänge einbeziehen

VOLTA sammelt laut Talos auch WLAN-Passwörter und Sitzungsdaten. Prüfen Sie deshalb nicht nur einzelne Websites, sondern auch Konten, die auf dem betroffenen Rechner angemeldet waren. Lassen Sie das Gerät mit einer aktuellen Sicherheitssoftware untersuchen und folgen Sie den Empfehlungen Ihrer IT-Abteilung oder eines qualifizierten Dienstleisters. Wenn der Befund unklar ist, behaupten Sie nicht vorschnell, das Gerät sei sicher, nur weil VOLTA sich nach der Ausführung löscht.

Für den Alltag hilft eine einfache Bestandsaufnahme: Welche Konten waren auf dem Gerät geöffnet, welche Passwörter im Browser gespeichert und welche Zahlungs- oder Wallet-Daten dort erreichbar? Diese Fragen machen es leichter, die Konten in sinnvoller Reihenfolge abzusichern. Besonders wichtig sind Zugänge, mit denen sich weitere Passwörter zurücksetzen oder geschäftliche Systeme erreichen lassen.

Quellen

• New VOLTA Infostealer Uses Claude, Gemini, and Kimi AI to Rank Victims by Financial Value
• AI-powered infostealer picks out the most profitable parts of your stolen data – Help Net Security
• VOLTA, the infostealer that asks an AI which victims are worth the effort
• VOLTA Infostealer: AI Victim Ranking – Brandefense
• Appraisal by AI: Model-driven victim prioritization in the VOLTA infostealer