Il 31 ottobre 2026 Cisco Talos ha pubblicato l’analisi di un campione Windows di infostealer chiamato internamente VOLTA-AUTODOXER. Il malware raccoglie dati e può aggiungere, in una fase successiva e facoltativa, un’analisi tramite modelli linguistici ospitati. Ryan Fetterman, ricercatore di Talos, ha riferito che il gruppo non aveva monitorato un eventuale uso del malware in circolazione. L’analisi tecnica di Cisco Talos descrive quindi le capacità del campione, non infezioni confermate.
L’IA analizza i dati dopo la raccolta
Un infostealer è un malware progettato per sottrarre informazioni. Nel campione descritto da Talos, la raccolta comprende credenziali, cookie, dati di pagamento, sessioni, token e altri elementi. Talos descrive anche un arricchimento tramite sessioni rubate: per esempio, il malware può cercare ricevute d’acquisto in Gmail e consultare la cronologia degli ordini di Uber Eats e DoorDash. Non è detto che ogni esecuzione raccolga tutti questi dati.
Solo dopo raccolta e arricchimento, il malware può inviare tramite OpenRouter un dossier strutturato a modelli linguistici di grandi dimensioni, o LLM. La fase valuta il potenziale valore economico delle risorse della vittima e la sua OPSEC, cioè le pratiche di sicurezza operativa. Il modello predefinito indicato da Talos è Claude Opus 4.6; la sequenza di alternative è Kimi K2, poi Gemini 2.5 Flash.
Quindi l’IA non esegue il furto iniziale: analizza i dati già raccolti. Talos riferisce inoltre che il malware può funzionare anche senza questa fase. Il campione non contiene, secondo la descrizione tecnica, un LLM locale integrato: il dossier viene instradato verso modelli ospitati.
Le indicazioni di Talos per i difensori
Talos segnala gli avvii di Chrome con il parametro --headless come elemento da monitorare o limitare, perché rilevanti per il percorso del campione che aggira App-Bound Encryption. È un’indicazione legata al comportamento descritto per VOLTA, non una garanzia di rilevamento.
In caso di sospetta compromissione, Talos consiglia di conservare il registro %APPDATA%\volta_debug.txt, revocare i token che potrebbero essere stati esposti e cambiare le password. Se la frase seed di un portafoglio di criptovalute era salvata in testo semplice, Talos raccomanda di considerare compromesso quel portafoglio e trasferire i fondi a uno nuovo, con frase seed generata su un dispositivo isolato dalla rete.
