窃密木马Volta翻查Gmail收据，再让AI评估受害者“值多少钱”

一种新近披露的Windows恶意软件，会把窃取来的信息交给AI聊天机器人，让它对刚刚被洗劫的受害者作出书面评估。它名为Volta-Autodoxer，会窃取保存的密码、Cookie、支付卡信息和加密货币钱包资料，再把一份档案发送给大型语言模型，要求模型评估“他们值多少钱”。对生活离不开浏览器的人来说，这相当于把一堆被盗账号变成了一份名单，列出该先对谁下手。

这项研究来自Cisco Talos。该团队利用一个专门捕捉会调用AI模型的黑客工具的新框架，发现了这种恶意软件；Wired率先对此作了报道。窃取信息本身并不新鲜，后续操作才是。Volta利用受害者被盗的登录会话，在他们的Gmail中搜索来自Amazon、DoorDash、Uber Eats、Grubhub、Walmart和PayPal的收据，以确认家庭住址；它还会调取外卖订单记录、补全受害者的Discord个人资料，甚至通过实时查询给他们的Roblox库存估价。

这些信息会被整理成一份结构化证据档案，经由OpenRouter发送出去。OpenRouter是一项可将提示词转发给多家AI服务商的服务。默认模型是Anthropic的Claude Opus 4.6。提示词约240词长，把模型设定为“撰写目标评估报告的取证情报分析师”，要求专门评估受害者值多少钱，按照贵重物品变现的难易程度排列，并给受害者的安全习惯打分。提示词还要求模型“把不同信息串联起来”，例如留意Wi-Fi密码是否与姓氏相同，并强调要“深入挖掘，而非广撒网”。

开发者预料到有些聊天机器人会拒绝作答。Volta会扫描每条回复，查找“我不能”或“我无法”等措辞；一旦遭到拒绝，就会改用Moonshot AI的开放权重模型Kimi K2重试，之后再试Google的Gemini 2.5 Flash。“这段提示词设计得相当谨慎，没有明着暗示任何恶意意图，”负责这项分析的Talos研究员瑞安·费特曼（Ryan Fetterman）对Wired说，“但他们显然已经预料到，第一次提出请求时，模型有可能会拒绝。”

对犯罪分子来说，最大的好处是快。会话令牌会过期，人们也会更改密码，因此，谁先查明哪个受害者持有完整的加密货币钱包或公司云服务密钥，谁就能先下手。“我们看到，技术能力更强的功能正落到技术水平较低的攻击者手中。”费特曼说。Talos还发现，Volta采用了产品化设计：每个副本都留有六个位置，供买家填入自己的Telegram频道和API密钥，并在文件编译时写入。这表明开发者会把工具卖给其他罪犯，而买家随后会直接在Telegram收件箱里收到按优先级排列的目标报告。

不过，警报也有其边界。Talos表示，尚未追踪到Volta是否曾被用于攻击真实受害者，而且AI分析这一步是可选的：即使没有API密钥，恶意软件仍会窃取所有信息，只是不生成档案。从本质上说，它仍是传统的Windows信息窃取程序，因此常规防护措施依然有效。它用来搜索收据的商家几乎全是美国公司，这或许透露了开发者瞄准的对象；不过，被盗密码和钱包在任何地方都同样值钱。

对于已经中招的人，Talos的建议毫不含糊：撤销仍然有效的会话和令牌，更改密码；如果加密货币钱包的助记词曾以明文形式保存在电脑文件中，就应当视为已经丢失，并把资金转移到一个新钱包。这个新钱包应在一台从未联网的设备上创建。信息窃取程序常藏在盗版或假冒软件中，因此最省钱的防护办法依然是不要运行这类软件。

Talos于10月31日发布了这项分析。两天前，该团队刚介绍过另一款内置AI的犯罪工具包NIK C2。CrowdStrike的研究人员最近告诉Wired，他们发现有四个黑客团体正在使用AI工具攻击全球数十个目标；这些团体分别以中文、西班牙语和英语、印尼语以及俄语开展活动。

Talos表示，对于防御者而言，尚待解答的问题是：犯罪行动中的哪一环会成为下一个交给模型处理的任务？在Volta的案例中，交出去的是过去需要由人坐下来决定“该抢谁”的那部分工作。

标签: 网络安全, Claude, Gemini, OpenRouter, Cisco Talos, Kimi K2