Cisco Talos analizó una muestra para Windows de VOLTA-AUTODOXER, un infostealer o malware que roba información. Según su análisis técnico, la muestra recopila y enriquece datos antes de enviar un paquete estructurado a modelos de lenguaje alojados en la nube para evaluar a la víctima. La etapa de inteligencia artificial (IA) es opcional y no realiza el robo inicial.
Qué hace la etapa de IA
Talos describe la recopilación de credenciales y cookies de navegador, datos de tarjetas y sesiones de cuentas. Con sesiones robadas, la muestra también puede buscar recibos en Gmail y consultar historiales de pedidos en Uber Eats y DoorDash. El análisis de Talos detalla estas capacidades de la muestra, no que todos esos datos se obtengan en cada caso.
Después, la información se organiza en un expediente para que un modelo valore qué activos podrían monetizarse y evalúe la seguridad operativa de la víctima, conocida como OPSEC. No es un modelo local integrado en el malware: Talos describe solicitudes que pasan por OpenRouter a modelos alojados. El predeterminado era Claude Opus 4.6; si no estaba disponible, la cadena incluía Kimi K2 y después Gemini 2.5 Flash.
La evaluación puede funcionar sin esa etapa de IA: Talos afirma que el malware conserva su funcionamiento aunque no la use. Para quien defiende una red, esto significa que la detección no debe depender de que aparezcan solicitudes a modelos. La extracción y el análisis automatizado son partes distintas del flujo.
Talos también describió seis espacios de configuración que podían cambiarse durante la compilación. Interpretó esa estructura como un indicio de un posible modelo de constructor configurable para distintos operadores.
Qué pueden vigilar los defensores
Talos señala los inicios de Chrome con el parámetro --headless como una señal relevante para detectar o restringir la vía que esta muestra utiliza para eludir App-Bound Encryption, una protección de Chrome. También identifica %APPDATA%\\volta_debug.txt como un registro de extracción con marcas de tiempo.
Si se sospecha una infección, Talos recomienda conservar ese registro, revocar los tokens que podrían haberse expuesto y cambiar las contraseñas. Si la frase semilla de un monedero de criptomonedas estaba guardada en texto plano, aconseja tratarlo como comprometido y trasladar los fondos a un monedero nuevo, con una frase semilla generada en un dispositivo aislado de la red.
Qué se sabe sobre su uso
El análisis de Talos se publicó el 31 de octubre de 2026. Ese mismo día, WIRED informó de que Ryan Fetterman, investigador de Talos, dijo que el equipo no había seguido si VOLTA-AUTODOXER se había utilizado en circulación. La muestra analizada describe capacidades técnicas, pero no acredita por sí sola ataques contra víctimas reales.
