VOLTA-AUTODOXERは、自己削除するWindowsの情報窃取型で、Cisco TalosがCAIRNの調査から10月31日に報告した。ブラウザのパスワード、Cookie、カード、暗号資産ウォレットのシード、DiscordやTelegramなどのセッション、MicrosoftのOAuthトークン、SSH鍵、gcloudなどのクラウド設定、Wi-Fiパスワード、スクリーンショットを集め、住所や勤務先、文書の作成者情報まで束ねる。盗んだセッションで領収書や注文履歴を引き、本人確認に使う。
束ねたJSONは被害者の端末からOpenRouterへ送られ、モデルには標的評価の作成を指示する。出力には換金価値を低・中・高で並べる節と、パスワード運用の評価が含まれる。温度は0.2で、応答に「I can't」や「I'm not able」が出ると最大3モデルへ進む。既定はanthropic/claude-opus-4.6、続いてmoonshotai/kimi-k2、google/gemini-2.5-flashだ。推論は被害者の回線上で終わり、結果はvolta_dox.zipなどと一緒に持ち出される。APIキーなどはビルド時に差し込む枠へ入り、バイナリ内の定数から導いたSHA-256で包まれているため、解析すれば戻せる。Talosは、攻撃者自身のサーバを持たない販売用ビルダーだとみている。
ChromeのApp-Bound Encryptionを外す経路は、headless指定での起動に依存する。知らないプロセスからのその起動を制限するか、検知する。本体が消えていても、APPDATA配下のvolta_debug.txtに収集とLLM呼び出しの成否が残ることがある。SSH鍵、クラウドの認証、ブラウザへ保存したトークンは漏えいしたものとして失効させ、シードが平文でディスクにあったウォレットは資金を移す。