El malware Volta utiliza LLM para clasificar los datos robados según el valor de la víctima

Ha surgido un nuevo infostealer para Windows llamado VOLTA-AUTODOXER con una capacidad distintiva: utiliza grandes modelos de lenguaje (LLM) para analizar los datos robados y clasificar a las víctimas según su potencial valor monetario. Observado por primera vez en octubre de 2026, este malware automatiza el proceso de triaje que normalmente requiere analistas humanos, convirtiendo volcados brutos de credenciales en informes de inteligencia estructurados.

Qué ocurrió

VOLTA opera como un implante maduro de robo de información que extrae una amplia variedad de datos sensibles de las máquinas infectadas. Sus objetivos de recolección incluyen contraseñas de navegador, cookies, tarjetas de pago, frases semilla de monederos de criptomonedas y tokens de sesión para plataformas como Discord, Telegram, Steam y Roblox. También extrae tokens OAuth de Microsoft, claves SSH, configuraciones de proveedores de nube, perfiles de Wi-Fi y capturas de pantalla. A diferencia de muchos stealers comerciales, VOLTA va más allá de la simple extracción al realizar un enriquecimiento en vivo utilizando las propias sesiones robadas.

Después de recopilar los datos iniciales, el malware utiliza el acceso autenticado a las cuentas de las víctimas para profundizar en su perfil de inteligencia. Consulta bandejas de entrada de Gmail para buscar recibos de compra de servicios como Amazon, DoorDash y Uber Eats con el fin de confirmar direcciones domiciliaria. Extrae historiales de pedidos de aplicaciones de entrega de comida y utiliza tokens de Discord para enriquecer los perfiles de usuario. Para los entusiastas de las criptomonedas, realiza consultas en vivo en Rolimons.com para valorar los inventarios de Roblox. Estos datos enriquecidos se compilan en un paquete de evidencia estructurado que incluye geolocalización, detalles del empleador, año de nacimiento inferido y evaluaciones de la postura de seguridad.

La innovación central radica en cómo se procesa este paquete. VOLTA serializa los datos en JSON y los envía a un proveedor externo de LLM a través de OpenRouter. El prompt del sistema instruye al modelo para que actúe como un analista forense de inteligencia, produciendo un informe con secciones tituladas "WHAT THEY'RE WORTH" (Lo que valen) y "THEIR OPSEC" (Su OpSec). La salida clasifica los activos según su potencial de monetización y evalúa la higiene de contraseñas de la víctima. Esto permite que actores de baja sofisticación reciban una priorización de objetivos de alta calidad sin esfuerzo manual.

Cómo funciona

La integración de IA está diseñada para ser resiliente frente a las barreras de seguridad de los modelos. VOLTA utiliza por defecto anthropic/claude-opus-4.6 pero monitoriza las respuestas en busca de frases de rechazo como "I can’t" o "I’m not able". Si se detecta un rechazo, cambia a una cadena de modelos alternativos, específicamente moonshotai/kimi-k2 y luego google/gemini-2.5-flash. Esta arquitectura multi-modelo sugiere que los desarrolladores anticipan e ingenian soluciones alrededor de los rechazos de seguridad, asegurando que el análisis se complete incluso si el modelo principal bloquea la solicitud.

El malware se comunica con el endpoint de LLM en https[:]//openrouter[.]ai/api/v1/chat/completions utilizando solicitudes JSON ensambladas manualmente y una cadena User-Agent de Mozilla/5.0, evitando los SDK estándar. El parámetro de temperatura está codificado rígidamente en 0.2, favoreciendo salidas deterministas y consistentes sobre la creatividad. Todo el viaje de ida y vuelta de inferencia ocurre en la máquina y la conexión de red de la víctima antes de que el dossier final, guardado como "AI_Analysis.txt", sea exfiltrado junto con el informe de identidad bruto en un archivo zip.

Detalles clave

• VOLTA utiliza un modelo de constructor donde los clientes proporcionan claves API y configuraciones mediante una plantilla con seis ranuras intercambiables, que están débilmente cifradas en el binario final.
• El malware evade el App-Bound Encryption de Chrome lanzando el navegador en modo headless para descifrar las credenciales almacenadas.
• Realiza el descifrado en línea de monederos de criptomonedas y vuelca todas las contraseñas de Wi-Fi guardadas a texto plano utilizando la función WlanGetProfileList.
• El prompt de análisis de IA pide explícitamente al modelo que establezca conexiones entre puntos de datos dispersos, como vincular nombres o universidades con patrones de contraseñas.
• No hay infraestructura propiedad del atacante; toda la comunicación depende de servicios de terceros como OpenRouter y Telegram para el comando y control.
• El malware se autoelimina después de la ejecución, pero deja atrás un archivo de registro de depuración en "APPDATA%\volta_debug.txt" si no se limpia completamente.

Por qué importa

Este desarrollo marca un cambio en las operaciones de ciberdelincuencia desde el robo basado en volumen hacia el targeting basado en valor. Al automatizar el trabajo analítico de filtrar miles de registros robados, VOLTA reduce el umbral operativo para los criminales. Los actores ya no necesitan analistas calificados para identificar objetivos de alto valor; simplemente pueden desplegar el stealer y recibir dossiers clasificados. Esta eficiencia aumenta el retorno de inversión por cada infección, lo que podría incentivar un despliegue más generalizado.

Para los defensores, el uso de LLM introduce nuevos desafíos en la detección y respuesta. La dependencia de proveedores de IA de terceros significa que no hay un servidor de comando central para bloquear, y el tráfico puede parecer llamadas API legítimas. Además, la capacidad de evadir funciones modernas de seguridad del navegador como App-Bound Encryption destaca la necesidad de políticas de control de aplicaciones más estrictas. Los equipos de seguridad deben asumir que cualquier token de sesión robado puede usarse para enriquecer un perfil de ataque en tiempo real, haciendo crítica la revocación inmediata de tokens.

Qué puedes hacer

• Implementa políticas de control de aplicaciones que restrinjan qué procesos pueden lanzar Chrome con la bandera --headless para prevenir evasiones de ABE.
• Monitoriza conexiones salientes inusuales a endpoints de API de IA como OpenRouter desde dispositivos de usuarios finales.
• Aplica almacenamiento respaldado por hardware para credenciales y evita guardar contraseñas en navegadores cuando sea posible.
• Si te comprometen, preserva el archivo "APPDATA%\volta_debug.txt" para análisis forense antes de eliminarlo.
• Revoca inmediatamente todos los tokens OAuth y cambia las contraseñas de cualquier cuenta que pueda haber sido expuesta.
• Trata cualquier monedero de criptomonedas con una frase semilla almacenada en disco como totalmente comprometido y migra los fondos a un nuevo monedero aislado (air-gapped).