Una nuova variante di malware per Windows combina il furto di dati su vasta scala con l’intelligenza artificiale per profilare le vittime e classificarle in base al loro potenziale valore per i criminali informatici. I ricercatori di Cisco Talos hanno scoperto la minaccia attraverso CAIRN, un kit di ricerca open source progettato per identificare e monitorare i malware basati sull’IA.
Chiamato VOLTA-AUTODOXER, il malware segue quattro fasi principali: raccoglie informazioni da un dispositivo infetto, invia i dati rubati per l’analisi tramite IA, trasferisce i dati a un’infrastruttura controllata dagli aggressori e si rimuove dal sistema.
A prima vista, VOLTA assomiglia a un infostealer convenzionale. Può raccogliere password dei browser, cookie, dati delle carte di pagamento, frasi seed dei portafogli di criptovalute, sessioni di Discord, Telegram, Steam e Roblox, token OAuth di Microsoft, chiavi SSH e dei provider cloud, profili Wi-Fi e screenshot.
La sua caratteristica distintiva è la creazione di un dossier strutturato sulla vittima. Il malware raccoglie informazioni come la posizione geografica, l’indirizzo di casa, il datore di lavoro e il dominio del datore di lavoro, un anno di nascita dedotto, le ultime quattro cifre delle carte di credito, gli spazi di lavoro Slack, i metadati degli autori dei documenti, gli indicatori dei backup dell’iPhone e un valore stimato dell’account Roblox. Cerca inoltre in Gmail messaggi relativi a UberEats e DoorDash, apparentemente per contribuire a confermare un indirizzo di casa.
Le informazioni raccolte vengono serializzate e inviate tramite OpenRouter, una piattaforma d’infrastruttura per l’IA che offre accesso a più modelli linguistici attraverso un’unica API. Il malware istruisce il modello selezionato ad agire come un analista di intelligence forense incaricato di preparare una valutazione del bersaglio. L’analisi risultante dovrebbe determinare se vale la pena perseguire la vittima e quanto potrebbero valere le informazioni rubate.
Claude è indicato come modello predefinito, mentre Kimi K2 di Moonshot AI e Gemini 2.5 Flash di Google sono nominati come alternative nel caso in cui il primo modello rifiuti di elaborare la richiesta. Se i servizi di IA non funzionano, VOLTA può inviare i dati grezzi agli aggressori, in genere attraverso un canale Telegram.
Cisco Talos ha dichiarato che le valutazioni raccolte potrebbero aiutare gli aggressori a dare priorità alle vittime per ulteriori attività, comprese le operazioni di ransomware. I ricercatori non hanno rivelato dove sia stato trovato il malware, quanti sistemi abbia infettato o come venisse distribuito.
Dopo aver completato le proprie attività, VOLTA tenta di cancellarsi. Tuttavia, sul sistema potrebbe rimanere un file chiamato volta_debug.txt, che registra le informazioni raccolte e indica se la valutazione tramite IA è andata a buon fine.
I ricercatori ritengono che il malware possa essere destinato alla vendita sul mercato nero. I dettagli di Telegram e le chiavi API non sono incorporati nel codice, e secondo quanto riferito il malware include sei slot configurabili che possono essere compilati durante la creazione di una build. Cisco Talos ha affermato che questa struttura è coerente con un modello basato su un builder, in cui un venditore fornisce il framework del malware e i clienti inseriscono le proprie impostazioni per creare binari personalizzati.
Agli utenti che sospettano un’infezione, i ricercatori raccomandano di revocare o sostituire le chiavi e i token API, modificare le password e controllare i portafogli di criptovalute. Consigliano inoltre di trasferire eventuali fondi rimanenti in un nuovo portafoglio protetto da una seed generata ex novo.
Fonti: TechRadar.