Um infostealer para Windows chamado VOLTA-AUTODOXER está usando inteligência artificial para avaliar o possível valor de suas vítimas, segundo uma pesquisa da Cisco Talos. Depois de roubar dados de um computador infectado, o malware cria um dossiê estruturado e o envia por padrão ao Claude, da Anthropic, pedindo ao modelo que identifique e classifique os ativos de acordo com seu potencial de monetização.
O VOLTA pode coletar senhas de navegadores, cookies, dados de cartões de pagamento, perfis do Thunderbird e do Outlook, contas do Roblox, tokens OAuth da Microsoft, capturas de tela, arquivos SSH e configurações de provedores de nuvem. Ele também extrai em texto simples as senhas de Wi-Fi salvas e tenta quebrar os cofres de carteiras de criptomoedas, em vez de simplesmente copiá-los.
O malware enriquece as informações roubadas por meio de buscas ativas em contas comprometidas. Ele pode procurar no Gmail recibos de serviços como Amazon, DoorDash, Uber Eats, Grubhub, Walmart e PayPal para ajudar a confirmar um endereço residencial. Também recupera históricos de entregas, usa tokens roubados do Discord para ampliar o perfil da vítima e verifica o valor de itens do Roblox por meio do Rolimons.
Primeiro, o VOLTA salva as informações coletadas localmente como Identity_Report.txt e em formato JSON. Em seguida, envia o dossiê ao OpenRouter, um serviço de roteamento de modelos, juntamente com instruções para que a IA atue como analista de inteligência forense e produza uma avaliação concisa do alvo, baseada em evidências. A resposta é salva como AI_Analysis.txt, e os dois arquivos são empacotados em volta_dox.zip para exfiltração.
O Claude Opus 4.6 é configurado como o modelo padrão, com uma configuração baixa de temperatura destinada a produzir resultados previsíveis. Se a resposta parecer conter linguagem de recusa ou for limitada demais, o malware pode tentar usar o Kimi K2, da Moonshot AI, e o Gemini 2.5 Flash, do Google. Ele também pode ignorar completamente a etapa de IA quando nenhuma chave de API do OpenRouter é fornecida e enviar o dossiê coletado pelo Telegram.
A Talos descreve o VOLTA como um provável produto para revenda. Seu criador inclui configurações substituíveis para itens como canais do Telegram e credenciais de API, permitindo a criação de binários personalizados para clientes. Embora essas credenciais sejam criptografadas no binário, os pesquisadores afirmam que elas podem ser recuperadas. O design permite que um cliente receba avaliações classificadas das vítimas sem depender de uma infraestrutura controlada diretamente pelo invasor.
Grande parte das tentativas do VOLTA de roubar dados do Chrome procura contornar a App-Bound Encryption ao iniciar o Chrome no modo headless. A Talos afirma que uma política de controle de aplicações que restrinja quais processos podem iniciar o Chrome no modo headless pode bloquear essa rota específica de descriptografia. Essa medida não impede que o malware realize suas outras atividades de coleta, análise ou exfiltração.
O executável principal pode se excluir após a infecção, mas um arquivo chamado volta_debug.txt deve permanecer. O registro pode indicar quais informações foram coletadas e se a solicitação ao modelo foi bem-sucedida. A Talos recomenda que os usuários afetados revoguem ou troquem as chaves de API e os tokens expostos e alterem suas senhas. Se a frase-semente de uma carteira de criptomoedas tiver sido armazenada em texto simples, os fundos deverão ser transferidos para uma nova carteira com uma semente recém-gerada.
Fontes: Tom's Hardware.