Uma nova variedade de malware para Windows identificada está combinando roubo de dados em grande escala com inteligência artificial para traçar o perfil das vítimas e classificá-las de acordo com seu possível valor para cibercriminosos. Pesquisadores da Cisco Talos descobriram a ameaça por meio do CAIRN, um kit de pesquisa de código aberto desenvolvido para identificar e rastrear malware alimentado por IA.

Batizado de VOLTA-AUTODOXER, o malware segue quatro etapas principais: coletar informações de um dispositivo infectado, enviar os dados roubados para análise por IA, transferir os dados para uma infraestrutura controlada pelos invasores e remover a si próprio do sistema.

À primeira vista, o VOLTA se parece com um ladrão de informações convencional. Ele pode coletar senhas de navegadores, cookies, dados de cartões de pagamento, frases-semente de carteiras de criptomoedas, sessões do Discord, Telegram, Steam e Roblox, tokens OAuth da Microsoft, chaves SSH e de provedores de nuvem, perfis de Wi-Fi e capturas de tela.

Seu diferencial é a criação de um dossiê estruturado sobre a vítima. O malware reúne informações como localização geográfica, endereço residencial, empregador e domínio do empregador, um ano de nascimento inferido, os quatro últimos dígitos de cartões de crédito, espaços de trabalho do Slack, metadados de autor de documentos, indicadores de backup do iPhone e um valor estimado da conta do Roblox. Ele também pesquisa no Gmail mensagens do UberEats e do DoorDash, aparentemente para ajudar a confirmar um endereço residencial.

As informações coletadas são serializadas e enviadas por meio do OpenRouter, uma plataforma de infraestrutura de IA que fornece acesso a vários modelos de linguagem por meio de uma única API. O malware instrui o modelo selecionado a atuar como um analista de inteligência forense que prepara uma avaliação do alvo. A análise resultante pretende determinar se vale a pena perseguir a vítima e qual poderia ser o valor das informações roubadas.

O Claude é listado como o modelo padrão, enquanto o Kimi K2, da Moonshot AI, e o Gemini 2.5 Flash, do Google, são indicados como alternativas caso o primeiro modelo se recuse a processar a solicitação. Se os serviços de IA não funcionarem, o VOLTA pode enviar os dados brutos aos invasores, normalmente por meio de um canal do Telegram.

A Cisco Talos afirmou que as avaliações coletadas poderiam ajudar os invasores a priorizar vítimas para atividades posteriores, incluindo operações de ransomware. Os pesquisadores não divulgaram onde o malware foi encontrado, quantos sistemas ele havia infectado ou como estava sendo distribuído.

Depois de concluir suas atividades, o VOLTA tenta se excluir. No entanto, um arquivo chamado volta_debug.txt pode permanecer no sistema e registrar as informações coletadas e se a avaliação por IA foi bem-sucedida.

Os pesquisadores acreditam que o malware pode ter sido desenvolvido para venda no mercado negro. Os detalhes do Telegram e as chaves de API não são incorporados diretamente ao código, e o malware supostamente inclui seis espaços configuráveis que podem ser preenchidos quando uma compilação é criada. A Cisco Talos afirmou que essa estrutura é compatível com um modelo de builder, no qual um vendedor fornece a estrutura do malware e os clientes inserem suas próprias configurações para gerar binários personalizados.

Para usuários que suspeitem de uma infecção, os pesquisadores recomendam revogar ou substituir as chaves e os tokens de API, alterar as senhas e verificar as carteiras de criptomoedas. Eles também aconselham transferir quaisquer fundos restantes para uma nova carteira protegida por uma seed recém-gerada.

Fontes: TechRadar.