Infostealer para Windows usa LLMs para classificar dados roubados e depois se apaga
Pesquisa da Cisco Talos diz que a ferramenta automatiza triagem de vítimas, tornando possível que criminosos de baixa qualificação comprem alvos ranqueados por IA.
A Cisco Talos divulgou publicamente o VOLTA-AUTODOXER em pesquisa publicada entre 1º e 2 de novembro de 2026, identificando o software como um infostealer para Windows que se apaga após a operação e inclui uma camada de análise por IA.
O malware coleta um conjunto amplo de segredos de computadores infectados: senhas de navegadores, cookies, cartões de pagamento salvos, perfis de e‑mail, chaves OAuth e SSH, senhas de Wi‑Fi, capturas de tela e frases-semente de criptomoedas, que tenta quebrar no próprio processo.
O VOLTA monta um “pacote de evidências” estruturado que liga dados a uma pessoa, reunindo sinais de geolocalização, indícios de endereço residencial, domínio do empregador, últimos quatro dígitos de cartão, metadados de documentos e avaliações ao vivo de contas, antes de enviar tudo para análise.
O pacote é encaminhado via OpenRouter para uma cadeia de LLMs que usa por padrão o Claude Opus 4.6, da Anthropic, e recorre como fallback ao Kimi K2, da Moonshot, e ao Gemini 2.5 Flash, do Google. O código também pode utilizar chaves de API das próprias vítimas, se estiverem disponíveis.
Pesquisadores alertam que o binário é construído a partir de um template com seis slots para canais do Telegram e chaves de API, o que indica um modelo de construtor ou serviço que pode permitir a operadores menos qualificados comprar dossiês de vítimas priorizados por IA e acelerar a exploração. O código ainda pode pular a etapa de IA, segundo a Talos.