VOLTA: el malware que usa IA para clasificar los datos robados

VOLTA-AUTODOXER añade una capa de inteligencia artificial a un robo de información que comienza de forma mucho más convencional. Este malware para Windows recoge contraseñas, sesiones y otros datos del equipo infectado y, después, puede enviarlos a un modelo de lenguaje para elaborar un perfil de la víctima y ordenar sus activos por valor económico. Así lo describe Cisco Talos en un análisis publicado el 31 de octubre.

La novedad no es que un chatbot infecte por sí solo un ordenador. El uso de IA llega después de la extracción de datos y busca ahorrar al operador el trabajo de interpretarlos. El informe muestra una capacidad técnica de la muestra analizada, pero no mide una campaña masiva: Ryan Fetterman, investigador de Talos, explicó a WIRED que el equipo no había seguido si VOLTA se había utilizado en ataques reales.

De las credenciales a un expediente sobre la víctima

Un infostealer es un programa diseñado para robar información del dispositivo en el que se ejecuta. En el caso de VOLTA, Talos describe una recogida amplia que incluye credenciales y cookies de navegadores, datos de tarjetas guardadas, carteras de criptomonedas, sesiones de aplicaciones y claves vinculadas a servicios en la nube.

El alcance va más allá de conocer una contraseña. El análisis enumera sesiones de Discord, Telegram, Steam y Roblox, entre otros servicios. Una sesión robada puede ofrecer acceso a una cuenta sin que el atacante necesite volver a introducir todas las credenciales que el usuario empleó al iniciar sesión.

Después de esa primera recogida, VOLTA utiliza accesos sustraídos para enriquecer la información. Talos señala, por ejemplo, que busca recibos y pedidos para contrastar una dirección y vincular distintas actividades con una misma persona. El resultado es un conjunto organizado de datos personales, laborales y de cuentas digitales.

Qué hace la inteligencia artificial dentro de VOLTA

La capa de IA transforma ese conjunto de datos en una evaluación que permite al operador decidir qué cuentas o activos le resultan más interesantes. En lugar de revisar manualmente cada registro, recibe un resumen del perfil y de los elementos que podrían tener valor para sus fines.

Talos explica que el malware envía la consulta a través de OpenRouter, un servicio que da acceso a distintos modelos. La muestra incluye una cadena de alternativas si un modelo rechaza la petición. Ese diseño revela que sus autores anticipaban límites de seguridad y trataron de mantener la función de análisis aunque una primera solicitud no prosperara.

La integración, sin embargo, es opcional. VOLTA puede seguir robando datos aunque no complete la fase de IA. La evaluación automática no sustituye al infostealer: se añade a sus capacidades y pretende reducir el trabajo que el delincuente tendría que hacer después del robo.

Una muestra analizada no equivale a una campaña medida

El informe identifica un programa que puede borrarse después de ejecutarse y que utiliza servicios de terceros para sus comunicaciones. Talos no observó infraestructura controlada por el atacante en los puntos de conexión analizados. Eso no convierte a las plataformas utilizadas en autoras del ataque ni implica que sus usuarios estén infectados por visitar esos servicios.

Los investigadores también encontraron elementos compatibles con un sistema de construcción de muestras personalizadas para distintos clientes. Talos presenta esa posibilidad como una interpretación del diseño, no como la confirmación de una red comercial identificada o de una cifra de víctimas.

La distinción importa: conocer las funciones del malware permite preparar la defensa, pero no determina su distribución, el número de equipos afectados ni quién está detrás. La investigación de Fetterman y la entrevista de WIRED describen las capacidades y sus implicaciones sin aportar un censo de infecciones.

Qué hacer si se sospecha un robo de sesiones

Las recomendaciones de Talos incluyen revocar los tokens que puedan haberse comprometido y cambiar las contraseñas. Son acciones complementarias: cambiar una clave no debe confundirse con comprobar que todos los accesos y sesiones anteriores han quedado anulados.

El equipo de seguridad también recomienda conservar los registros disponibles del incidente. Aunque el ejecutable se borre, pueden quedar rastros que ayuden a establecer qué información se recopiló y si funcionó la llamada al modelo. Esa revisión es importante para no reducir la respuesta a pasar un antivirus y dar por terminada la exposición.

La autenticación multifactor sigue formando parte de la protección de cuentas, pero no convierte una sesión ya robada en inocua. VOLTA ilustra por qué la respuesta debe abarcar tanto el dispositivo comprometido como los accesos a los servicios: la IA no cambia el origen del robo, pero puede facilitar que la información sustraída se ordene y aproveche con menos esfuerzo humano.