Una nueva cepa de malware para Windows combina el robo de datos a gran escala con inteligencia artificial para crear perfiles de las víctimas y clasificarlas según su valor potencial para los ciberdelincuentes. Investigadores de Cisco Talos descubrieron la amenaza a través de CAIRN, un kit de investigación de código abierto diseñado para identificar y rastrear malware impulsado por IA.
Denominado VOLTA-AUTODOXER, el malware sigue cuatro etapas principales: recopilar información de un dispositivo infectado, enviar los datos robados para su análisis mediante IA, transferir los datos a una infraestructura controlada por los atacantes y eliminarse del sistema.
A primera vista, VOLTA se parece a un ladrón de información convencional. Puede recopilar contraseñas de navegadores, cookies, datos de tarjetas de pago, frases semilla de monederos de criptomonedas, sesiones de Discord, Telegram, Steam y Roblox, tokens OAuth de Microsoft, claves SSH y de proveedores de servicios en la nube, perfiles de redes Wi-Fi y capturas de pantalla.
Su característica distintiva es la creación de un expediente estructurado sobre la víctima. El malware recopila información como la ubicación geográfica, la dirección particular, el empleador y el dominio del empleador, un año de nacimiento inferido, los últimos cuatro dígitos de las tarjetas de crédito, espacios de trabajo de Slack, metadatos de autor de documentos, indicadores de copias de seguridad de iPhone y un valor estimado de la cuenta de Roblox. También busca en Gmail mensajes de UberEats y DoorDash, aparentemente para ayudar a confirmar una dirección particular.
La información recopilada se serializa y se envía a través de OpenRouter, una plataforma de infraestructura de IA que proporciona acceso a múltiples modelos de lenguaje mediante una sola API. El malware instruye al modelo seleccionado para que actúe como analista de inteligencia forense encargado de preparar una evaluación del objetivo. El análisis resultante pretende determinar si vale la pena perseguir a la víctima y cuál podría ser el valor de la información robada.
Claude aparece como el modelo predeterminado, mientras que Kimi K2, de Moonshot AI, y Gemini 2.5 Flash, de Google, figuran como alternativas si el primer modelo se niega a procesar la solicitud. Si los servicios de IA no funcionan, VOLTA puede enviar los datos sin procesar a los atacantes, normalmente a través de un canal de Telegram.
Cisco Talos afirmó que las evaluaciones recopiladas podrían ayudar a los atacantes a priorizar a las víctimas para actividades posteriores, incluidas operaciones de ransomware. Los investigadores no revelaron dónde se encontró el malware, cuántos sistemas había infectado ni cómo se estaba distribuyendo.
Después de completar su actividad, VOLTA intenta eliminarse. Sin embargo, un archivo llamado volta_debug.txt puede permanecer en el sistema y registrar la información recopilada y si la evaluación mediante IA tuvo éxito.
Los investigadores creen que el malware podría estar destinado a la venta en el mercado negro. Los datos de Telegram y las claves de API no están codificados de forma fija, y, según los informes, el malware incluye seis espacios configurables que pueden completarse cuando se crea una compilación. Cisco Talos afirmó que esta estructura es coherente con un modelo de constructor en el que un vendedor proporciona el marco del malware y los clientes aportan sus propios ajustes para crear binarios personalizados.
Para los usuarios que sospechen de una infección, los investigadores recomiendan revocar o rotar las claves de API y los tokens, cambiar las contraseñas y revisar los monederos de criptomonedas. También aconsejan transferir los fondos restantes a un monedero nuevo protegido por una semilla recién generada.
Fuentes: TechRadar.