The Pulse
Cisco Talos scopre che l’infostealer VOLTA usa l’IA per classificare le vittime
Cisco Talos afferma che l’infostealer per Windows VOLTA invia i dati rubati a modelli linguistici di grandi dimensioni per classificare le vittime e i loro beni in base al potenziale valore. Il malware usa anche le sessioni email e delle ap
AI.info Team · Scritto con l’IA · verificato ·
Il 31 ottobre, Cisco Talos ha descritto un infostealer per Windows che affida i dati rubati a un modello di IA per stabilire quali vittime potrebbero avere più valore. Il malware, che si fa chiamare VOLTA-AUTODOXER, raccoglie credenziali e sessioni degli account, costruisce un profilo della persona che usa il computer e poi richiede una valutazione che classifichi ciò che può essere monetizzato. Talos afferma che il campione è stato osservato per la prima volta l’11 ottobre ed è progettato per cancellarsi da solo.
VOLTA costruisce un dossier dagli account rubati
L’infostealer sottrae password dei browser, cookie e dati delle carte di pagamento, oltre a informazioni sui wallet di criptovalute, sessioni di messaggistica e di gioco, token OAuth di Microsoft, chiavi SSH e di servizi cloud, profili Wi-Fi salvati e screenshot. Raccoglie poi in un rapporto sull’identità dettagli come la posizione della vittima, il datore di lavoro, l’indirizzo di casa, i metadati sugli autori dei documenti e le ultime quattro cifre delle carte di pagamento. Il risultato non è soltanto una raccolta di credenziali: è un profilo strutturato, pensato per aiutare un operatore a decidere dove concentrare l’attenzione.
VOLTA usa anche le sessioni rubate per raccogliere ulteriori informazioni di contesto. Secondo Talos, il malware cerca su Gmail ricevute di acquisti che potrebbero confermare un indirizzo di casa, recupera le cronologie degli ordini di Uber Eats e DoorDash e usa un token Discord per aggiungere dettagli sull’account. Può anche verificare il valore degli oggetti presenti nell’inventario di un account Roblox. Queste informazioni vengono raggruppate con gli altri dati rubati prima che il malware chieda a un modello esterno di valutare il bersaglio.
Claude, Kimi e Gemini formano la catena di modelli alternativi
Il malware invia il pacchetto di dati a OpenRouter, con istruzioni che chiedono al modello di agire come un analista di intelligence forense. Il rapporto richiesto comprende una sezione «QUANTO VALGONO», che classifica i beni in base al loro potenziale di monetizzazione, e una valutazione delle pratiche di sicurezza della vittima. Talos afferma che il modello predefinito è Claude Opus 4.6 di Anthropic, con Kimi K2 di Moonshot AI e Gemini 2.5 Flash di Google come alternative.
VOLTA controlla se le risposte dei modelli contengono formule di rifiuto come «non posso» o «non sono in grado», per poi provare il modello successivo nella catena. Talos interpreta questa scelta progettuale come una prova del fatto che l’operatore del malware si aspettasse dei rifiuti. Il rapporto afferma inoltre che la fase di IA può essere saltata se non è disponibile una chiave, quindi le funzioni di raccolta dell’infostealer non dipendono dalla riuscita della risposta del modello.
«Il modello è l’analista di triage dell’operatore: trasforma un registro grezzo di credenziali in un dossier sulla vittima e sui suoi beni monetizzabili, corredato di citazioni e organizzato per priorità.»
Ryan Fetterman, Cisco Talos
Una build personalizzabile, senza infrastrutture di proprietà degli attaccanti
Talos ha scoperto che VOLTA usa un modello con sei campi configurabili, compilati al momento della creazione del malware. Secondo i ricercatori, questa configurazione suggerisce un modello basato su un builder, in cui un cliente fornisce le impostazioni e riceve un eseguibile su misura; precisano però che si tratta di una deduzione basata sulla struttura del campione. Talos non ha inoltre trovato infrastrutture di proprietà degli attaccanti tra gli endpoint osservati.
La richiesta all’IA passa attraverso la connessione di rete del computer infetto e la valutazione restituita viene salvata insieme ai dati raccolti prima dell’esfiltrazione. Talos descrive l’integrazione del modello come un modo per ridurre il lavoro di analisi dell’operatore, più che come una funzione che esegue il furto iniziale. Il suo effetto pratico è trasformare un ampio bottino di credenziali e dati degli account in un rapporto sul bersaglio organizzato per priorità.
Talos richiama l’attenzione sull’avvio di Chrome in modalità headless
Secondo Talos, parte del furto di credenziali di VOLTA si basa sull’aggiramento di App-Bound Encryption di Chrome tramite l’avvio di Chrome in modalità headless. La misura di controllo raccomandata consiste nel limitare i processi che possono avviare Chrome con il flag --headless, oppure nel generare un avviso quando lo fa un processo non autorizzato. Se un sistema è compromesso, Talos consiglia di conservare il registro della raccolta con indicazione temporale %APPDATA%\volta_debug.txt, revocare i token potenzialmente esposti e cambiare le password.
Per i wallet di criptovalute, Talos afferma che una frase seed memorizzata in chiaro su disco dovrebbe essere considerata compromessa e che i fondi dovrebbero essere trasferiti in un nuovo wallet usando una seed generata su un dispositivo isolato dalla rete. L’eseguibile del malware può cancellarsi da solo, ma il registro di debug può mostrare che cosa ha raccolto e se la chiamata al modello è riuscita.