Un infostealer de Windows llamado VOLTA-AUTODOXER utiliza inteligencia artificial para evaluar el valor potencial de sus víctimas, según una investigación de Cisco Talos. Después de robar datos de un equipo infectado, el malware crea un expediente estructurado y lo envía de forma predeterminada a Claude, de Anthropic, solicitando al modelo que identifique y clasifique los activos según su potencial de monetización.
VOLTA puede recopilar contraseñas de navegadores, cookies, datos de tarjetas de pago, perfiles de Thunderbird y Outlook, cuentas de Roblox, tokens OAuth de Microsoft, capturas de pantalla, archivos SSH y configuraciones de proveedores de servicios en la nube. También extrae en texto plano las contraseñas de Wi-Fi guardadas e intenta descifrar las bóvedas de las billeteras de criptomonedas, en lugar de limitarse a copiarlas.
El malware enriquece la información robada mediante búsquedas activas en cuentas comprometidas. Puede revisar Gmail en busca de recibos de servicios como Amazon, DoorDash, Uber Eats, Grubhub, Walmart y PayPal para ayudar a confirmar una dirección residencial. También recupera historiales de entregas, utiliza tokens de Discord robados para ampliar el perfil de la víctima y comprueba el valor de los artículos de Roblox mediante Rolimons.
VOLTA guarda primero la información recopilada localmente como Identity_Report.txt y en formato JSON. Después envía el expediente a OpenRouter, un servicio de enrutamiento de modelos, junto con instrucciones para que la IA actúe como analista de inteligencia forense y produzca una evaluación concisa del objetivo respaldada por pruebas. La respuesta se guarda como AI_Analysis.txt, y ambos archivos se empaquetan en volta_dox.zip para su exfiltración.
Claude Opus 4.6 está configurado como el modelo predeterminado, con un valor de temperatura bajo destinado a producir resultados predecibles. Si la respuesta parece contener lenguaje de rechazo o es demasiado limitada, el malware puede probar Kimi K2, de Moonshot AI, y Gemini 2.5 Flash, de Google. También puede omitir por completo la etapa de IA cuando no se proporciona una clave de API de OpenRouter y enviar el expediente recopilado a través de Telegram.
Talos describe VOLTA como un producto probablemente destinado a la reventa. Su creador incluye configuraciones sustituibles para elementos como canales de Telegram y credenciales de API, lo que permite crear binarios personalizados para los clientes. Aunque esas credenciales están cifradas en el binario, los investigadores afirman que pueden recuperarse. El diseño permite que un cliente reciba evaluaciones clasificadas de las víctimas sin depender de una infraestructura controlada directamente por el atacante.
Gran parte de los intentos de VOLTA por robar datos de Chrome trata de eludir el cifrado vinculado a la aplicación mediante el inicio de Chrome en modo sin interfaz. Talos afirma que una política de control de aplicaciones que restrinja qué procesos pueden iniciar Chrome en modo sin interfaz puede bloquear esta ruta de descifrado concreta. Esta medida no impide que el malware realice sus demás actividades de recopilación, análisis o exfiltración.
El ejecutable principal puede eliminarse después de la infección, pero debería quedar un archivo llamado volta_debug.txt. El registro puede indicar qué información se recopiló y si la solicitud al modelo tuvo éxito. Talos aconseja a los usuarios afectados revocar o rotar las claves de API y los tokens expuestos, así como cambiar sus contraseñas. Si la frase semilla de una billetera de criptomonedas estaba almacenada en texto plano, sus fondos deben transferirse a una billetera nueva con una semilla recién generada.
Fuentes: Tom's Hardware.