Cisco Talos 详述 VOLTA 信息窃取恶意软件用 LLM 为受害者排名的环节

Cisco Talos 研究者 Ryan Fetterman 于 2026 年 10 月 31 日发布分析，详述 Windows 信息窃取恶意软件 VOLTA-AUTODOXER 在窃取凭据后，用 LLM 为受害者的可变现资产排名的阶段。该恶意软件提取浏览器、通讯与云配置等多类凭据，并用窃取的 Gmail token 检索收据佐证住址，把证据整理成 JSON 后发往 OpenRouter 的对话补全接口。Talos 称其默认模型为 anthropic/claude-opus-4.6，依次回退到 moonshotai/kimi-k2 和 google/gemini-2.5-flash，温度为 0.2；回复中出现拒绝表述时就换下一个模型，最多尝试三个。推理在受害者终端与网络连接上完成，结果随后才被外传。