VOLTA: Mã Độc Nhờ Claude Chấm Giá Trị Nạn Nhân, Bị Từ Chối Thì Đổi Sang Kimi Rồi Gemini

Ngày 31/10/2026 nhóm Cisco Talos công bố phân tích VOLTA, một mã độc đánh cắp thông tin trên Windows tự gọi mình là "VOLTA-AUTODOXER". Sau khi lấy mật khẩu, phiên đăng nhập và ví tiền mã hoá, nó gói thành một "gói bằng chứng" về chủ máy (địa chỉ, nơi làm việc, năm sinh suy đoán, bốn số cuối thẻ) rồi gửi tới một mô hình ngôn ngữ qua OpenRouter, yêu cầu mô hình đóng vai "nhà phân tích tình báo pháp y" xếp tài sản của nạn nhân theo giá trị kiếm tiền. Mô hình mặc định được ghi cứng trong mẫu là Claude Opus 4.6; nếu bị từ chối, mã độc chuyển sang Kimi K2 rồi Gemini 2.5 Flash. Talos coi điểm mới không nằm ở tốc độ hay quy mô mà ở việc "chuyển công sức": giao cho mô hình đúng phần việc cần con người tập trung nhất. Bài không nêu số nạn nhân và không nói mẫu này đã bị dùng ngoài thực tế.

Trước khi gọi AI: một mã độc đánh cắp đầy đủ

Theo bài của Talos, VOLTA lấy mật khẩu, cookie và thẻ thanh toán lưu trong các trình duyệt nền Chromium, cả Firefox, Thunderbird và Outlook; cụm từ khôi phục ví tiền mã hoá; phiên đăng nhập Discord, Telegram, Steam và Roblox; token OAuth của Microsoft; khoá SSH và khoá nhà cung cấp đám mây; mật khẩu mọi mạng Wi-Fi đã lưu; và ảnh chụp màn hình. Talos viết rằng phần lớn khả năng lấy token của VOLTA dựa vào kỹ thuật vượt App-Bound Encryption (ABE) của Chrome, thực hiện qua Chrome chạy chế độ headless.

Sau đó VOLTA "làm giàu" hồ sơ bằng chính các phiên vừa lấy: tìm trong Gmail của nạn nhân biên lai của Amazon, DoorDash, Uber Eats, Grubhub, Walmart và PayPal để xác nhận địa chỉ nhà; gọi lịch sử đơn hàng Uber Eats và DoorDash; dùng token Discord để bổ sung thông tin tài khoản; định giá kho đồ Roblox qua một lần tra cứu trên Rolimons. Tất cả được gộp vào một tệp Identity_Report.txt. Đây là lúc bước AI bắt đầu.

Bước AI: gửi gì, hỏi gì, dự phòng ra sao

Gói bằng chứng có vị trí địa lý và địa chỉ nhà, nơi làm việc và tên miền công ty, năm sinh suy đoán, bốn số cuối thẻ, các workspace Slack, siêu dữ liệu tác giả của tài liệu, dấu hiệu có sao lưu iPhone và giá trị tài khoản Roblox. Mã độc đóng gói thành JSON rồi gửi tới OpenRouter kèm prompt hệ thống bảo mô hình soạn "đánh giá mục tiêu". Các chi tiết dưới đây là số Talos công bố, Locaith chép lại.

Talos nhận xét chuỗi dự phòng cho thấy một nỗ lực kỹ thuật trực tiếp và kỳ vọng sẽ chạm hàng rào an toàn của mô hình, và mô tả các mô hình dự phòng là loại nhỏ hơn, dễ dãi hơn. Đó là đánh giá của Talos; bài không nêu thử nghiệm nào xem các mô hình này có thật sự từ chối prompt hay không.

Ảnh chụp prompt trong bài cho thấy người viết dùng những thói quen của một prompt doanh nghiệp được viết kỹ (Locaith đọc, không đăng lại nguyên văn): coi gói bằng chứng là nguồn dữ kiện duy nhất, cấm mô hình lấy kiến thức huấn luyện để thêm dữ kiện về chủ máy; bắt trích tên trường dữ liệu sau mỗi khẳng định; nếu thiếu dữ liệu phải ghi "chưa xác lập" thay vì bịa; tách mâu thuẫn ra mục riêng; và chỉ dùng một thang tin cậy cố định. Talos chỉ ra phần khác thường: mô hình không được yêu cầu tìm thêm dữ liệu mà được yêu cầu "kéo giãn" dữ liệu sẵn có, chẳng hạn nối mật khẩu Wi-Fi với họ của chủ máy, hay tên miền hệ thống học tập với địa chỉ email .edu. Nói cách khác, kẻ viết đã áp dụng đúng các biện pháp chống bịa số liệu mà các đội AI doanh nghiệp vẫn dùng.

Bán theo đơn, không có hạ tầng riêng

• VOLTA dùng khuôn mẫu có sáu ô cấu hình điền vào lúc dựng tệp (kênh Telegram, khoá API và các thiết lập). Talos suy ra đây là mô hình "builder": người viết bán quyền truy cập, khách điền giá trị của mình, mỗi đơn ra một tệp riêng; Talos viết có điều kiện ("nếu VOLTA đúng là mã độc hàng hoá"), không khẳng định.
• Giá trị trong các ô được mã hoá, nhưng khoá chính là SHA-256 của hai hằng số nằm ngay trong tệp; Talos nói ai dịch ngược tệp cũng lấy lại được, nên lớp mã hoá chỉ để khách yên tâm, không bảo vệ thật.
• Mọi điểm cuối quan sát được đều do bên thứ ba kiểm soát, không có hạ tầng của kẻ tấn công. Cuộc gọi tới mô hình đi từ chính máy nạn nhân, qua đường mạng của nạn nhân, trước khi kết quả được gửi ra ngoài.
• Mã độc tự xoá sau khi chạy. Talos nói tệp thực thi chính có thể đã biến mất, nhưng khuyên cố giữ lại volta_debug.txt trong thư mục %APPDATA%: đó là nhật ký có dấu thời gian, ghi những gì bị lấy và lệnh gọi mô hình có thành công không.

Tìm ra bằng siêu dữ liệu, chưa rõ đã dùng ngoài thực tế chưa

Talos nói VOLTA "nổi lên" qua dự án CAIRN (Cognitive Artifact Intelligence Research Network), bộ công cụ săn mã độc tích hợp AI chỉ dựa trên siêu dữ liệu (chuỗi ký tự, hành vi trong sandbox, nhãn của phần mềm diệt virus), không tải hay chạy tệp. Bài trước đó của dự án, CLOSEDQUORUM (22/9/2026), mô tả một cấy ghép điều khiển tự động bằng AI, và Talos viết rõ ở đó rằng chưa xác nhận được việc triển khai ngoài thực tế. Với VOLTA, bài chỉ ghi thời điểm thấy mẫu lần đầu; Locaith không biết mẫu lấy từ máy bị nhiễm hay từ kho mẫu, nên không nên đọc bài như một báo cáo về làn sóng tấn công.

• Bài nói: chuỗi hành vi, cấu hình mô hình, kiến trúc bán theo đơn, không có hạ tầng riêng, lời khuyên phòng thủ.
• Bài không nêu: số nạn nhân; quy kết cho nhóm nào; mẫu đã được dùng ngoài thực tế hay chưa; trong thực tế mô hình từ chối bao nhiêu lần; chất lượng của bản "đánh giá mục tiêu" mô hình trả về; hãng nào trong ba hãng mô hình (Anthropic, Moonshot, Google) hoặc OpenRouter đã được báo hay đã phản hồi.
• Locaith lưu ý: mô hình mặc định ghi cứng là Claude Opus 4.6, không phải bản hiện hành (Opus 5.5). Bài không nói bản 4.6 còn gọi được qua OpenRouter hay không, nên chưa thể nói hàng rào an toàn của các bản mới chặn được hay không.

Phòng thủ theo khuyến nghị của Talos

• Dùng chính sách kiểm soát ứng dụng hạn chế tiến trình nào được chạy Chrome với tham số --headless: Talos nói biện pháp này chặn hẳn đường giải mã ABE. Tối thiểu, cảnh báo khi Chrome chạy với --headless từ tiến trình không thuộc nhóm lập trình viên đã biết.
• Lưu thông tin xác thực trong kho có phần cứng hỗ trợ.
• Nếu nghi nhiễm: giữ lại volta_debug.txt trong %APPDATA% (tệp chính có thể đã tự xoá), thu hồi mọi token có thể bị lấy, đổi mật khẩu. Với ví tiền mã hoá, nếu cụm từ khôi phục từng nằm dạng văn bản trên đĩa thì coi ví đã mất hoàn toàn; chuyển tiền sang ví mới có cụm từ khôi phục tạo trên thiết bị cách ly mạng.

Giới hạn và điều chưa biết

Locaith đọc bài của Talos, bài giới thiệu CAIRN và bài CLOSEDQUORUM; không phân tích mẫu, không gọi OpenRouter hay bất kỳ mô hình nào được nhắc. Mọi chi tiết kỹ thuật ở trên là lời Talos, kể cả cách Talos suy ra mô hình bán theo đơn; Locaith không kiểm chứng độc lập. Tìm kiếm ngày 01/11/2026 chưa thấy bài độc lập nào xác nhận hay phản bác, hay phản hồi của OpenRouter, Anthropic, Moonshot và Google. Talos còn liệt kê một bài khác ở mục liên quan, "NIK C2" (29/10/2026, khung điều khiển tích hợp AI), mà Locaith chưa đọc. Bản tổng hợp AI Weekly dẫn tới bài Talos; Locaith dùng bài gốc làm nguồn chính.