มัลแวร์ VOLTA ให้ AI ช่วยเลือกเหยื่อที่ ‘คุ้มค่าที่สุด’
VOLTA ถูกพบครั้งแรก 11 ตุลาคม 2026 ถ้า Claude ไม่ยอมตอบ มันจะเปลี่ยนไปถาม Kimi K2 แล้วต่อด้วย Gemini 2.5 Flash
ไปที่หัวข้อ
ลองนึกภาพโจรที่เพิ่งได้ข้อมูลจากคอมพิวเตอร์ของใครสักคนมาทั้งเครื่อง ในมือมีรหัสผ่านที่เจ้าของกดให้เบราว์เซอร์จำไว้ บัตรที่เคยกรอกตอนซื้อของออนไลน์ บัญชีแชต บัญชีเกม และกระเป๋าคริปโต คำถามต่อไปของโจรคือของชิ้นไหนเอาไปทำเงินได้มากที่สุด และเหยื่อคนนี้คุ้มที่จะเสียเวลาด้วยหรือเปล่า งานคัดแยกแบบนี้เคยต้องใช้คนนั่งไล่อ่านทีละไฟล์
ตอนนี้มีโปรแกรมที่โยนงานนั้นให้ AI ทำแทน เมื่อวันที่ 31 ตุลาคม 2026 Cisco Talos ทีมวิจัยภัยไซเบอร์ของบริษัท Cisco เผยแพร่ผลการแกะมัลแวร์ชื่อ VOLTA มัลแวร์บน Windows ที่เห็นตัวอย่างไฟล์ครั้งแรกเมื่อ 11 ตุลาคม หลังขโมยข้อมูลเสร็จ มันส่งแฟ้มของเหยื่อไปให้ Claude Opus 4.6 โมเดล AI ของ Anthropic เขียนรายงานประเมินของมีค่าของเหยื่อคนนั้น เรียงจากมากไปน้อย
VOLTA กวาดไปทั้งรหัสผ่าน บัตร และกระเป๋าคริปโต
VOLTA เป็นมัลแวร์ประเภท infostealer หรือโปรแกรมขโมยข้อมูล มันไม่ล็อกเครื่องหรือขึ้นข้อความเรียกค่าไถ่ให้เจ้าของรู้ตัว แต่แอบเก็บสิ่งที่เราบันทึกไว้ในเครื่องแล้วส่งออกไปเงียบ ๆ รายการของ VOLTA ยาวมาก ทั้งรหัสผ่าน คุกกี้ และบัตรที่บันทึกไว้ในเบราว์เซอร์ตระกูล Chrome และ Firefox บัญชี Outlook, Slack, Discord, Telegram, Steam และ Roblox รหัส Wi-Fi ภาพหน้าจอ และกระเป๋าคริปโต ซึ่งมันมีตัวเดารหัสติดมาด้วยเพื่อเปิดกระเป๋าที่ล็อกด้วยรหัสผ่าน
คุกกี้ในที่นี้คือไฟล์เล็ก ๆ ที่ทำให้เว็บจำได้ว่าเราล็อกอินอยู่ ใครได้คุกกี้ไปก็อาจเข้าบัญชีของเราได้โดยไม่ต้องรู้รหัสผ่าน จุดที่ทำให้ VOLTA ต่างจากโปรแกรมขโมยข้อมูลทั่วไปคือมันใช้บัญชีที่ขโมยมาค้นต่ออีกชั้น มันเปิด Gmail ของเหยื่อหาใบเสร็จจากร้านอย่าง Amazon, Walmart และ PayPal เพื่อยืนยันที่อยู่บ้าน ดึงประวัติการสั่งอาหารจากแอปส่งอาหาร และเช็กราคาไอเท็มในเกม Roblox ทั้งหมดถูกรวมเป็นแฟ้มประวัติของเหยื่อหนึ่งคน
ถ้า Claude ไม่ยอมตอบ มันจะเปลี่ยนไปถาม AI ตัวถัดไป
แฟ้มนั้นถูกส่งต่อไปที่ OpenRouter บริการตัวกลางที่รับคำขอแล้วส่งต่อให้โมเดล AI ได้หลายค่ายจากที่เดียว โมเดลตัวแรกที่ VOLTA ตั้งไว้คือ Claude Opus 4.6 คำสั่งที่แนบไปให้ AI สวมบทนักวิเคราะห์ที่กำลังเขียนรายงานประเมินเป้าหมาย ในรายงานมีหัวข้อหนึ่งให้เรียงของมีค่าของเหยื่อเป็นระดับต่ำ กลาง และสูง ตามโอกาสที่จะเอาไปขายหรือใช้หาเงิน อีกหัวข้อให้ประเมินว่าเหยื่อระวังตัวแค่ไหน และตั้งรหัสผ่านแบบไหน
คนเขียนโปรแกรมเตรียมไว้แล้วว่า AI อาจไม่ยอมช่วย ถ้าคำตอบมีประโยคปฏิเสธอย่าง I can't โปรแกรมจะเปลี่ยนไปถาม Kimi K2 ของ Moonshot AI บริษัท AI จากจีน และถ้ายังไม่ได้ ก็ไปต่อที่ Gemini 2.5 Flash ของ Google รวมแล้วลองได้ 3 โมเดล คำขอทั้งหมดวิ่งออกจากเครื่องของเหยื่อเอง ผ่านอินเทอร์เน็ตของเหยื่อ ส่วนขั้น AI เป็นของเสริม ถ้าคนที่ใช้ VOLTA ไม่ได้ใส่ API key หรือรหัสสำหรับเรียกใช้ AI ไว้ ขั้นนี้ก็ถูกข้าม และโปรแกรมยังขโมยข้อมูลได้ตามปกติ
Talos มองว่า VOLTA น่าจะขายแบบสั่งประกอบ คือผู้เขียนขายสิทธิ์ใช้ ลูกค้าเลือกการตั้งค่า แล้วได้ไฟล์โปรแกรมที่ประกอบมาให้เฉพาะคน ถ้าเป็นแบบนั้นจริง คนที่ไม่มีความรู้เทคนิคเลยก็จะได้รายงานจัดอันดับเหยื่อส่งเข้า Telegram ของตัวเอง และเมื่อทำงานเสร็จ ตัวโปรแกรมยังลบตัวเองทิ้ง ทำให้เจ้าของเครื่องหาร่องรอยได้ยากขึ้น
AI เข้ามาแทนงานที่โจรเคยต้องนั่งคิดเอง
สิ่งที่ Talos ชี้ในบทสรุปคือ AI ในโปรแกรมนี้ไม่ได้ช่วยให้เจาะเครื่องได้เร็วขึ้นหรือได้มากขึ้น งานที่ AI รับไปคือขั้นที่เคยกินเวลาคนมากที่สุด คือการอ่านกองข้อมูลแล้วตัดสินว่าเหยื่อคนไหนคุ้ม ลองนึกถึงคนที่ล้วงกระเป๋าสตางค์มาได้ทั้งกอง แต่ละใบมีบัตร ใบเสร็จ และนามบัตรปนกัน เมื่อก่อนโจรต้องเปิดดูทีละใบ ตอนนี้มีผู้ช่วยเทกองแล้วยื่นรายชื่อมาให้ว่าใบไหนควรรีบใช้ก่อน
เรื่องนี้ยังมีข้อจำกัดที่ควรรู้ Talos แกะโปรแกรมจากตัวอย่างไฟล์ชุดเดียว ไม่ได้บอกว่ามีคนติดไปกี่คน ไม่ได้บอกว่ามันแพร่มาทางไหน และไม่ได้ยืนยันว่ามีโจรเอารายงานจาก AI ไปปล้นเหยื่อจริงแล้ว Gridinsoft บริษัทความปลอดภัยที่วิเคราะห์เรื่องนี้ต่อก็ย้ำว่ายังไม่มีตัวเลขเหยื่อ สิ่งที่รู้แน่คือเครื่องมือแบบนี้มีคนสร้างขึ้นแล้ว และมันเรียกใช้โมเดล AI ตัวเดียวกับที่คนทั่วไปใช้กันอยู่ทุกวัน
คนที่จดคำกู้กระเป๋าคริปโตไว้ในเครื่องควรย้ายเงินออก
ของที่เสี่ยงที่สุดในเรื่องนี้คือ seed phrase หรือคำกู้กระเป๋า ชุดคำเรียงกันที่ได้มาตอนสร้างกระเป๋าคริปโต ใครมีชุดคำนี้ก็ย้ายเงินในกระเป๋าออกไปได้หมดจากเครื่องไหนก็ได้ ถ้าใครเคยพิมพ์ชุดคำนี้เก็บไว้ในไฟล์โน้ตหรือเอกสารในคอมพิวเตอร์ Talos แนะนำให้ถือว่ากระเป๋านั้นถูกยึดไปแล้ว และย้ายเงินไปกระเป๋าใหม่ที่สร้างชุดคำบนอุปกรณ์ที่ไม่เคยต่ออินเทอร์เน็ต
ส่วนบัญชีอื่น Talos แนะนำให้ยกเลิกการล็อกอินที่อาจหลุดไปและเปลี่ยนรหัสผ่าน Gridinsoft เพิ่มอีกข้อที่คนมักพลาด คือให้เปลี่ยนรหัสจากเครื่องอื่นที่สะอาด ไม่ใช่จากเครื่องที่สงสัยว่าติด และเริ่มจากอีเมลหลักก่อน เพราะอีเมลมักเป็นทางรีเซ็ตรหัสของบัญชีอื่นทั้งหมด การสั่งออกจากระบบทุกเครื่องหลังเปลี่ยนรหัสยังทำให้คุกกี้ที่ถูกขโมยไปใช้ต่อไม่ได้ด้วย
สุดสัปดาห์นี้ วันเสาร์ที่ 7 หรือวันอาทิตย์ที่ 8 พฤศจิกายน ลองเปิดดูโฟลเดอร์ในคอมพิวเตอร์และแอปโน้ตว่ามีไฟล์ไหนจดคำกู้กระเป๋าหรือรหัสผ่านไว้เป็นข้อความธรรมดาหรือเปล่า ถ้ามี ให้ทำตามคำแนะนำข้างบน แล้วตั้งค่าแอปคริปโตและแอปธนาคารให้แน่นขึ้นตาม6 ข้อที่ SV News เคยรวบรวมไว้ เช่นการใช้แอปยืนยันตัวตนแทน SMS และการตั้งรายชื่อปลายทางที่ถอนเงินได้
คำถามที่พบบ่อย
VOLTA เข้ามาในเครื่องได้อย่างไร
ยังไม่มีใครตอบได้ Talos ไม่ได้อธิบายว่ามันแพร่ทางไหน และ Gridinsoft เขียนว่ายังไม่รู้ว่ามีเหยื่อล่อแบบใดที่ใช้ทุกครั้ง
มือถือหรือ Mac ติดด้วยไหม
ตัวอย่างที่ Talos แกะเป็นโปรแกรมบน Windows และแหล่งข้อมูลทั้งสองไม่ได้พูดถึงรุ่นสำหรับมือถือหรือ Mac
Claude ช่วยโจรจริงหรือ
VOLTA ตั้ง Claude Opus 4.6 เป็นโมเดลแรก และเตรียมเปลี่ยนไปใช้ Kimi K2 กับ Gemini 2.5 Flash เมื่อโมเดลปฏิเสธ Talos ไม่ได้บอกว่าโมเดลแต่ละตัวยอมตอบหรือปฏิเสธบ่อยแค่ไหน
ถ้าสงสัยว่าเครื่องติด ควรทำอะไรก่อน
Gridinsoft แนะนำให้แยกเครื่องนั้นออกจากงานสำคัญ สแกนด้วยโปรแกรมป้องกันมัลแวร์ที่เชื่อถือได้ แล้วเปลี่ยนรหัสผ่านจากเครื่องอื่น เริ่มที่อีเมลหลัก ถ้าเคยจดคำกู้กระเป๋าคริปโตไว้ในเครื่อง ให้ย้ายเงินไปกระเป๋าใหม่
