Investigadores de ciberseguridad han descubierto un infostealer para Windows conocido como VOLTA-AUTODOXER, o VOLTA, que utiliza modelos de lenguaje de gran escala para analizar la información robada y clasificar a las víctimas según su posible valor financiero.
El malware puede recopilar contraseñas y cookies de navegadores basados en Chromium, datos de Outlook y Slack, tarjetas de pago, frases semilla de billeteras de criptomonedas y sesiones de Discord, Telegram, Steam y Roblox. También apunta a tokens OAuth de Microsoft, claves SSH y de proveedores de servicios en la nube, perfiles de Wi-Fi y capturas de pantalla.
Según Ryan Fetterman, investigador de Cisco Talos, VOLTA crea un paquete estructurado de evidencias que describe a la persona que utiliza el equipo comprometido. El paquete puede incluir información de geolocalización y domicilio, el empleador y su dominio, un año de nacimiento inferido, los últimos cuatro dígitos de tarjetas de pago, espacios de trabajo de Slack, metadatos de autoría de documentos, indicadores de copias de seguridad de iPhone y una valoración en tiempo real de una cuenta de Roblox.
El malware también utiliza el acceso a sesiones robadas para buscar en Gmail recibos y correos electrónicos relacionados con pedidos de servicios como Amazon, DoorDash, Uber Eats, Grubhub, Walmart y PayPal. Esta información puede ayudar a corroborar la dirección de una víctima y aportar contexto al perfil recopilado.
Después de reunir los datos, VOLTA serializa el paquete de evidencias y lo envía a través de OpenRouter, una pasarela de API para enrutar solicitudes entre modelos de lenguaje de gran escala. El malware utiliza de forma predeterminada Claude Opus 4.6 de Anthropic y puede recurrir a Kimi K2 de Moonshot AI y Gemini 2.5 Flash de Google si un modelo rechaza la solicitud.
Talos indicó que el malware comprueba las respuestas de los modelos en busca de frases de rechazo antes de avanzar por una cadena de hasta tres modelos. Su mensaje de sistema instruye al modelo seleccionado para actuar como analista de inteligencia forense y utilizar únicamente la información contenida en el paquete de evidencias.
El análisis solicitado incluye una sección que clasifica los activos según su potencial de monetización mediante las categorías bajo, medio y alto, así como una evaluación de la postura de seguridad y la higiene de contraseñas de la víctima. Talos describió el modelo como un analista de triaje que transforma un registro de credenciales en un expediente priorizado para el operador.
VOLTA exfiltra la información a través de Telegram en tres etapas. La primera transmisión tiene lugar después de la ejecución e incluye credenciales del navegador, cookies, datos de tarjetas de pago y criptomonedas, tokens de servicios seleccionados, contraseñas de Wi-Fi y capturas de pantalla. Una segunda transmisión sigue al análisis de IA y contiene tanto la información capturada como los resultados del modelo. Una transferencia final puede incluir recibos de Gmail e historiales de pedidos recopilados durante la etapa de enriquecimiento.
El malware utiliza una plantilla definida durante la compilación con seis espacios configurables, incluido el canal de Telegram utilizado para la exfiltración, las claves de API y otros ajustes. Talos señaló que esto podría indicar que su creador ofrece un kit de construcción o produce binarios personalizados para clientes individuales.
Los investigadores afirmaron que, si VOLTA se distribuye como malware comercial, su función de expediente generado por IA podría permitir que operadores con conocimientos limitados reciban evaluaciones clasificadas de las víctimas directamente en Telegram. Caracterizaron la capa de IA como una forma de reducir la cantidad de análisis que debe realizar el operador, en lugar de limitarse a mejorar la velocidad o la escala.
Los hallazgos reflejan un uso más amplio de la IA generativa por parte de actores de amenazas para clasificar información robada e identificar datos valiosos. Zscaler ThreatLabz ha advertido que los atacantes podrían utilizar IA después de comprometer un sistema para buscar información confidencial que se pueda robar o cifrar entre los materiales accesibles, lo que potencialmente reforzaría los intentos de extorsión.
Cisco Talos también describió recientemente NIK C2, una herramienta de acceso remoto para Windows basada en Go con más de 52 comandos para funciones como control remoto, robo de credenciales, registro de pulsaciones, vigilancia, evasión de defensas y operaciones de ransomware. El marco incluye un cliente de OpenAI que puede enviar datos robados para su análisis.
NIK C2 puede utilizar una clave de API de OpenAI proporcionada por el atacante o buscar en las variables de entorno de la víctima “OPENAI_API_KEY”. Talos describió esto como una forma de LLMjacking, en la que un atacante utiliza el acceso y los recursos de IA de otra parte para realizar operaciones maliciosas. Si una víctima ha configurado una cuenta de OpenAI en el equipo, su clave podría utilizarse para pagar las solicitudes del atacante y dificultar la atribución.
Fuentes: The Hacker News.