El malware VOLTA usa modelos de IA para clasificar a las víctimas según su valor financiero

Cómo funciona VOLTA

El investigador de Cisco Talos Ryan Fetterman publicó el análisis de VOLTA-AUTODOXER el 31 de octubre de 2026 tras su descubrimiento a través del programa CAIRN. El malware, detectado por primera vez el 11 de octubre, combina el robo tradicional de credenciales con una fase de puntuación de víctimas impulsada por IA.

Tras infiltrarse en un equipo Windows, VOLTA extrae una amplia variedad de datos: contraseñas, cookies y tarjetas de pago de Chromium y Firefox; credenciales de Thunderbird y Outlook; sesiones de Slack; datos de Discord, Telegram, Steam, Battle.net y Roblox; frases semilla de carteras de criptomonedas; tokens OAuth de Microsoft; claves SSH y de proveedores de nube; perfiles Wi-Fi; y capturas de pantalla.

Los modelos de IA como capa de clasificación

Tras exfiltrar los datos, VOLTA los envía a través de OpenRouter a modelos como Claude, Gemini y Kimi. El modelo devuelve un dosier de la víctima con una clasificación según el potencial económico y una valoración de su postura de seguridad.

Si un modelo rechaza la solicitud, VOLTA reintenta automáticamente con hasta dos alternativas. La capa de IA es opcional: sin una clave API, los datos robados se transmiten igualmente en bruto.

Sin infraestructura del atacante que atacar

VOLTA se elimina tras ejecutarse y usa exclusivamente servicios de terceros, lo que dificulta el bloqueo a nivel de red. Talos no ha documentado campañas a gran escala, aunque el diseño evidencia una tendencia emergente: la IA se integra en la cadena criminal para maximizar el rendimiento de los datos robados.

Talos recomienda restringir qué procesos pueden lanzar Chromium en modo headless, alertar sobre lanzamientos inesperados y almacenar credenciales en almacenes respaldados por hardware.