Por Canuto  

Un malware de Windows llamado VOLTA-AUTODOXER no solo roba credenciales y datos personales: también puede enviar un expediente de la víctima a modelos de IA para que ordenen sus activos según su posible valor.
***

  • El malware reúne contraseñas, cookies, tarjetas, tokens, información de billeteras y datos que pueden ayudar a identificar y localizar a la víctima.
  • VOLTA usa Claude como opción predeterminada, pero contempla cambiar a Kimi o Gemini si recibe una negativa.
  • La IA no es indispensable para el ataque: el malware puede enviar los datos robados por Telegram sin el análisis automatizado.

Malware con IA perfila a sus víctimas y calcula qué activos pueden robarse

Un nuevo malware para Windows combina el robo de información con una etapa de análisis automatizado: reúne datos de la persona infectada y consulta a modelos de inteligencia artificial para estimar qué activos podrían tener mayor valor. Cisco Talos identificó la herramienta, llamada VOLTA-AUTODOXER, que usa Claude de Anthropic como opción predeterminada para convertir la información extraída en una evaluación personalizada de cada víctima.

El programa no se limita a recopilar credenciales y esperar que un operador humano revise los archivos. También intenta relacionar datos de distintas cuentas, construir un expediente sobre la persona y ordenar sus posibles bienes según cuánto podrían venderse, con el objetivo de orientar los esfuerzos de quien controla el malware.

Del robo de credenciales al expediente personal

VOLTA-AUTODOXER busca información habitual en un infostealer, como contraseñas, cookies y datos de tarjetas de pago guardados en navegadores. También puede extraer perfiles de correo de Thunderbird y Outlook, cuentas de Roblox, tokens OAuth de Microsoft, capturas de pantalla y archivos de configuración vinculados con SSH y proveedores de servicios en la nube.

El alcance incluye detalles que pueden revelar conexiones y hábitos de la persona: el malware extrae en texto sin formato las contraseñas de redes Wi-Fi guardadas y busca información sobre billeteras de criptomonedas. En lugar de limitarse a copiar los archivos de una billetera, intenta vulnerar en línea sus bóvedas, una diferencia que eleva el riesgo para quienes conservan fondos o datos sensibles en esos dispositivos.

Luego, el programa agrega información para dar contexto a los datos robados, como la ubicación geográfica, una posible dirección de domicilio, el empleador y el dominio de la empresa donde trabaja la víctima. También intenta inferir el año de nacimiento, recopila metadatos de autoría de documentos y registra los últimos cuatro dígitos de las tarjetas de pago, elementos que pueden hacer más identificable el perfil.

El malware también consulta sesiones y cuentas que ya fueron comprometidas para ampliar el expediente en tiempo real. Entre otras acciones, busca recibos de Amazon, DoorDash, Uber Eats, Grubhub, Walmart y PayPal en Gmail con el propósito de confirmar una dirección; además, extrae historiales de pedidos de Uber Eats y DoorDash, completa el perfil con un token robado de Discord y consulta Rolimons para valorar artículos de Roblox.

La inteligencia artificial evalúa a quién conviene atacar

Antes de enviar información a un modelo, VOLTA prepara localmente un archivo llamado Identity_Report.txt y serializa los datos en formato JSON. El expediente y las instrucciones para el modelo se remiten a OpenRouter, un servicio que permite dirigir solicitudes a distintos modelos de IA; la respuesta se guarda en AI_Analysis.txt.

El análisis pide una evaluación concisa de la idoneidad de la víctima como objetivo, respaldada por citas de la información reunida. También solicita que el modelo revise su postura general de seguridad, incluida la higiene de contraseñas, para producir una valoración que ayude a decidir qué datos podrían tener mayor utilidad para el atacante.

La configuración descrita usa Claude Opus 4.6 como modelo predeterminado y fija la temperatura en 0,2, un valor bajo que favorece respuestas más previsibles. Según la información difundida por Cisco Talos, el programa busca frases de rechazo o respuestas débiles y, si las detecta, puede probar otros modelos en un orden establecido: Kimi K2, de Moonshot AI, y Gemini 2.5 Flash, de Google.

La solicitud al modelo y su resultado no son indispensables para que el malware complete el robo. Si el usuario no proporciona una clave de API de OpenRouter, VOLTA todavía puede enviar los datos reunidos mediante Telegram, aunque el paquete llegue sin el análisis de IA; el informe y la respuesta, cuando existe, se agrupan en el archivo comprimido volta_dox.zip.

Una herramienta adaptable y con límites de seguridad

La conexión con el modelo ocurre a través de la propia red de la víctima, mientras que el archivo de salida puede llegar al operador por Telegram. Este diseño reduce la necesidad de depender de una infraestructura propia del atacante para entregar el resultado, aunque traslada parte de los puntos críticos a servicios externos utilizados por la operación.

Los investigadores describen VOLTA como una herramienta que parece preparada para la reventa y la personalización. Su plantilla contempla seis espacios intercambiables para incorporar un canal de Telegram, claves de API y otros ajustes; un cliente puede aportar esos valores para generar un binario adaptado, y aunque las credenciales se cifran, pueden recuperarse del archivo.

Una particularidad del robo de tokens está relacionada con el cifrado App-Bound de Chrome, diseñado para proteger datos almacenados en el navegador. VOLTA intenta eludir esa protección iniciando Chrome en modo headless, es decir, sin interfaz gráfica; una política de control de aplicaciones que restrinja qué procesos pueden abrir el navegador de esa manera puede bloquear esa vía específica de descifrado.

Ese control no neutraliza el resto de las capacidades del malware ni impide por sí solo que recopile otros datos, ejecute el análisis de IA o exfiltre información. La protección contra el inicio headless puede reducir la exposición de sesiones almacenadas en Chrome, pero no debe confundirse con una solución integral frente al robo de credenciales.

Qué hacer ante una posible exposición

VOLTA puede eliminar su ejecutable principal después de la infección, pero deja un archivo de registro llamado volta_debug.txt. Ese documento puede mostrar qué información recopiló el programa y si tuvo éxito la solicitud al modelo, por lo que su presencia puede ayudar a determinar el alcance del incidente.

La recomendación de respuesta es revocar o rotar las claves de API y los tokens expuestos, además de cambiar las contraseñas de las cuentas afectadas. Si la frase semilla de una billetera estaba guardada en texto sin formato, cambiar una contraseña no basta: los fondos deben trasladarse a una billetera nueva con una frase semilla nueva, idealmente generada en un dispositivo aislado de internet.

La amenaza también muestra cómo la IA puede reducir el trabajo de análisis que normalmente realizaría una persona, aunque en este caso su función está acotada a organizar información y sugerir el valor potencial de los objetivos. Cisco Talos también recoge otros ejemplos recientes de malware que integran varios modelos para votar cuál será su siguiente movimiento, así como uno que puede recurrir a la clave de OpenAI de la propia víctima.

La capacidad de cambiar de modelo si uno rechaza una solicitud plantea un desafío adicional para la defensa, porque convierte la negativa de un proveedor en un obstáculo que el malware puede intentar sortear. Por ahora, VOLTA combina técnicas conocidas de robo con una clasificación automatizada, pero el paso siguiente dependerá de cuánto amplíen los operadores el papel de la IA dentro de cada etapa del ataque.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados