Um novo tipo de malware infostealer passou a usar ferramentas de inteligência artificial para analisar os dados roubados e identificar rapidamente quais vítimas seriam mais valiosas para os criminosos. O programa, chamado internamente de Volta-Autodoxer, foi identificado por pesquisadores da Cisco Talos, segundo a revista WIRED.
O software coleta informações como nomes de usuário, senhas, tokens de autenticação, cookies, cartões de crédito e dados de carteiras de criptomoedas. Também procura sessões ativas de Discord, Telegram, Steam e Roblox, além de credenciais armazenadas em navegadores.
A investigação não confirmou se o Volta já foi utilizado em ataques reais. Ryan Fetterman, pesquisador da Cisco Talos, afirmou que a equipe encontrou o programa por meio do CAIRN, uma estrutura criada para detectar ferramentas de invasão que incorporam recursos de IA.
Programa amplia a coleta após a primeira busca
O infostealer realiza uma segunda varredura com base no que encontra inicialmente. A partir do acesso a uma conta central, como o Gmail, ele tenta montar um perfil mais completo do alvo, reunindo informações sobre localização, hábitos e rotina. Entre os dados procurados estão recibos e históricos de pedidos em serviços como UberEats e DoorDash.
Depois, o malware organiza o material em um dossiê e o envia para análise por meio do OpenRouter, serviço que encaminha solicitações a diferentes provedores de modelos de linguagem. A configuração padrão usa o Claude Opus 4.6, da Anthropic. Caso o modelo recuse o pedido, o programa prevê alternativas como o Kimi K2, da Moonshot AI, e o Gemini 2.5 Flash, do Google.
As instruções incorporadas ao código pedem que o modelo atue como analista de inteligência forense. A análise deve produzir um resumo executivo sobre a pessoa, suas atividades, patrimônio estimado e práticas de segurança digital, além de cruzar informações presentes nos dados coletados.
O sistema também foi projetado para continuar funcionando sem a etapa de inteligência artificial. Segundo Fetterman, os pedidos aos modelos são um recurso adicional, enquanto as funções tradicionais de roubo de informações permanecem operacionais mesmo quando a análise automatizada falha.
Automação pode acelerar escolha de alvos
O uso de IA permite priorizar alvos antes que senhas sejam alteradas ou tokens de autenticação expirem. A avaliação automatizada pode, assim, ajudar criminosos a decidir mais rapidamente quais credenciais ou sessões roubadas devem ser exploradas.
Pesquisadores têm observado uma adoção crescente de modelos de linguagem por grupos criminosos para programar ferramentas e examinar grandes volumes de dados. A Cisco Talos também identificou sinais de que o Volta pode ter sido criado para ser vendido a diferentes operadores, e não necessariamente para uma única campanha.
Apesar da nova camada de automação, a base do programa continua sendo a de um infostealer convencional. A diferença está na capacidade de transformar o material coletado em uma avaliação estruturada da vítima, recurso que pode ampliar o alcance de operadores com menor nível de sofisticação técnica.
