Em 31 de outubro de 2026, a Cisco Talos publicou uma análise de uma amostra de infostealer para Windows, um malware que rouba informações. Batizada internamente de VOLTA-AUTODOXER, ela combina coleta e enriquecimento de dados com uma etapa opcional de avaliação por modelos de linguagem grandes (LLMs). A IA entra depois do roubo, e o malware pode funcionar sem essa análise. A análise técnica da Cisco Talos descreve esse fluxo; a WIRED informou que a Talos não acompanhou se a amostra foi usada no mundo real.
O que a amostra coleta e faz com os dados
A Talos atribui à amostra a coleta de credenciais de navegador, cookies, dados de cartões de pagamento, sessões de contas, tokens, perfis de Wi-Fi, dados de carteiras digitais e capturas de tela. A lista reúne capacidades descritas para a amostra, não uma garantia de que todos esses dados sejam obtidos em cada caso.
O malware também pode usar sessões roubadas para buscar informações em contas. A Talos cita, por exemplo, a procura por recibos de compras no Gmail e consultas ao histórico de pedidos no Uber Eats e no DoorDash. Depois, organiza os dados em um dossiê estruturado. A etapa de IA pede uma avaliação dos ativos que poderiam ser monetizados e da segurança operacional da vítima, conhecida pela sigla OPSEC.
O pacote segue pelo OpenRouter para modelos hospedados. Na configuração descrita pela Talos, Claude Opus 4.6 aparece como modelo padrão, seguido por Kimi K2 e Gemini 2.5 Flash como alternativas. Portanto, a análise relatada não é um LLM local integrado ao malware: a amostra encaminha o dossiê para serviços de modelos externos. A Talos também afirma que a etapa de IA é opcional e que o malware pode operar sem ela.
O que defensores podem observar
A Talos aponta inicializações do Chrome com a opção --headless como relevantes para o caminho usado pela amostra para contornar a App-Bound Encryption. A equipe recomenda monitorar ou restringir esse comportamento como medida de detecção ou bloqueio. O sinal é específico à técnica descrita para essa amostra.
Em caso de suspeita de comprometimento, a Talos recomenda preservar o registro %APPDATA%\volta_debug.txt, revogar tokens que possam ter sido expostos e trocar senhas. O arquivo funciona como um registro de coleta com marcações de horário, por isso preservá-lo pode ser relevante para uma análise do incidente.
A orientação para carteiras digitais depende de uma condição específica: se a frase-semente estiver armazenada em texto simples, a Talos recomenda tratar a carteira como comprometida e transferir os fundos para uma carteira nova, com frase-semente gerada em um dispositivo isolado da rede.
