Malware VOLTA usa IA para classificar vítimas pelo valor financeiro dos dados roubados

Como o VOLTA funciona

O pesquisador da Cisco Talos Ryan Fetterman publicou a análise do VOLTA-AUTODOXER em 31 de outubro de 2026, após sua descoberta pelo programa CAIRN. O malware, detectado pela primeira vez em 11 de outubro, combina o roubo tradicional de credenciais com uma etapa de pontuação de vítimas impulsionada por IA.

Após infectar uma máquina Windows, o VOLTA coleta uma ampla gama de dados: senhas, cookies e cartões de pagamento de Chromium e Firefox; credenciais de Thunderbird e Outlook; sessões do Slack; dados de Discord, Telegram, Steam, Battle.net e Roblox; frases-semente de carteiras de criptomoedas; tokens OAuth da Microsoft; chaves SSH e de provedores de nuvem; perfis Wi-Fi; e capturas de tela.

Modelos de IA como camada de classificação

Após a exfiltração, o VOLTA encaminha os dados pelo OpenRouter para modelos como Claude, Gemini e Kimi. O modelo retorna um dossiê da vítima classificando os dados por potencial de monetização e avaliando sua postura de segurança.

Se um modelo recusar a solicitação, o VOLTA tenta automaticamente até duas alternativas. A camada de IA é opcional: sem uma chave de API, os dados brutos são transmitidos sem classificação.

Recomendações

A Talos não documentou campanhas em larga escala do VOLTA até o momento, mas o design do malware sinaliza uma tendência: a IA está sendo incorporada em cadeias criminosas para maximizar o retorno sobre dados roubados.

A Talos recomenda restringir quais processos podem iniciar o Chromium em modo headless, alertar sobre inicializações inesperadas e armazenar credenciais sensíveis em repositórios protegidos por hardware.