El malware VOLTA-AUTODOXER usa IA para clasificar a sus víctimas

Investigadores de Cisco Talos han identificado un malware para Windows llamado VOLTA-AUTODOXER mediante CAIRN, un kit de investigación de ciberseguridad de código abierto que sirve para identificar y rastrear malware impulsado por IA.

El malware recopila información personal y laboral del dispositivo infectado, como la ubicación geográfica, la dirección de casa, el empleador, el año de nacimiento estimado, los cuatro últimos dígitos de las tarjetas de crédito, los espacios de trabajo de Slack, metadatos sobre la autoría de documentos, indicios de copias de seguridad de iPhone y una valoración estimada de una cuenta activa de Roblox. También busca en Gmail mensajes de UberEats y DoorDash para ayudar a confirmar una dirección de casa.

VOLTA-AUTODOXER envía la información recopilada a OpenRouter, donde se indica a un modelo de IA que actúe como «analista de inteligencia forense que redacta una evaluación del objetivo». El malware clasifica a las víctimas por valor, aparentemente para ayudar a los atacantes a elegir objetivos para desplegar ransomware. Claude es el modelo predeterminado; Kimi K2 y Gemini 2.5 Flash figuran como alternativas. Si esos modelos no funcionan, el malware envía los datos sin procesar al atacante, normalmente a través de un canal de Telegram.

Los investigadores afirman que el malware parece diseñado para venderse en el mercado negro. El canal de Telegram y las claves de API no están codificados de forma fija; el malware se entrega como una plantilla con seis campos personalizables. Cisco Talos señala que esto apunta a un modelo de creación en el que los clientes aportan los valores para generar un binario personalizado. Tras ejecutarse, el malware tiene instrucciones de borrarse, aunque puede quedar un archivo llamado volta_debug.txt.