Una nueva investigación compartida con WIRED revela que los hackers han comenzado a incorporar funciones de IA en una nueva variante de malware de robo de información, lo que permite al sistema elaborar perfiles de las víctimas de forma automática e identificar rápidamente los objetivos más valiosos y su información. Los investigadores de Cisco Talos apodaron a este malware Volta-Autodoxer.
A menudo ocultos en software falsificado, los infostealers (ladrones de información) están diseñados para robar nombres de usuario, contraseñas, tokens de autenticación, cookies, datos de tarjetas de crédito y mucho más de los equipos infectados. Muchas de las mayores filtraciones de datos de los últimos años, desde las generalizadas filtraciones relacionadas con Snowflake, que afectaron a AT&T y Ticketmaster, hasta el robo de un terabyte de datos de Disney, se han producido porque los hackers accedieron a los objetivos utilizando datos de inicio de sesión recopilados por los ladrones de información. En total, este malware se ha utilizado para robar cientos de millones de credenciales en los últimos años.
«Volta es un programa de robo de datos bastante maduro. Tiende una red bastante amplia en cuanto a lo que recopila. Recopila toda esa información y, en última instancia, genera un expediente serializado que puede enviar a un par de LLM», menciona Ryan Fetterman, investigador de seguridad de Cisco Talos.
Talos detectó el malware utilizando su nuevo marco CAIRN, diseñado para identificar herramientas de hacking que incorporan capacidades de IA. Fetterman señala que Talos no ha rastreado si Volta se ha utilizado en la red.
Cómo funciona Volta-Autodoxer
Las capacidades tradicionales de Volta como ladrón de información son potentes y parecen estar orientadas a atacar a usuarios jóvenes con una intensa actividad digital. Busca contraseñas almacenadas en navegadores, tokens OAuth de Microsoft, cookies, tarjetas de pago y seed phrases (frases semilla) de carteras de criptomonedas, pero también sesiones activas de Discord, Telegram, Steam y Roblox. A continuación, el malware realiza un segundo escaneo más exhaustivo utilizando los hallazgos de la primera ronda. Al examinar el Gmail de la víctima u otra cuenta principal, Volta se forma una imagen más completa de la víctima, su ubicación y sus hábitos utilizando datos como recibos e historiales de pedidos de servicios como UberEats.
Una vez hecho todo esto, el malware introduce sus hallazgos en herramientas de IA para su análisis mediante OpenRouter, un servicio capaz de enviar solicitudes a múltiples proveedores de IA diferentes. Volta envía por defecto sus solicitudes a Claude Opus 4.6 de Anthropic. Pero para prepararse ante la posibilidad de que los mecanismos de seguridad del modelo puedan bloquear la actividad, Volta cuenta con planes alternativos: el modelo chino de peso abierto Moonshot AI Kimi K2 y, si este falla, Gemini 2.5 Flash de Google. Incorporar planes de contingencia y recurrir a modelos de generaciones anteriores y rentables son técnicas habituales entre los hackers.
Los creadores de Volta incluyeron un prompt de 240 palabras, con viñetas y una lista numerada, como parte de sus instrucciones para cualquier LLM que analizara los datos recopilados. «Eres un analista de inteligencia forense que está elaborando una evaluación de un objetivo a partir de un conjunto estructurado de pruebas», reza el prompt de Volta. Indica al chatbot que elabore un «resumen ejecutivo» sobre la persona, detalles de a qué se dedica, «cuánto vale» y un resumen de «su seguridad operativa». Añade que el chatbot debe relacionar datos de distintos ámbitos, por ejemplo, comprobando si la contraseña de WiFi de alguien coincide con su apellido. «Profundiza, no te disperses», indica el prompt.
Acerca del autor
