A Cisco Talos revelou em novembro de 2026 um infostealer para Windows chamado VOLTA, também identificado como VOLTA-AUTODOXER. O VOLTA infostealer IA representa uma nova geração de malware que combina roubo de dados com análise automatizada por modelos de linguagem para classificar vítimas pelo valor financeiro de suas informações. O mercado de Malware as a Service cresceu 234% em 2024 segundo o IBM X-Force Threat Intelligence Index, e ferramentas com IA representam uma parcela crescente desse ecossistema.
Como o VOLTA infostealer IA funciona na prática
O malware coleta uma ampla gama de dados da máquina infectada: senhas e cookies de navegadores Chromium, perfis do Outlook e workspaces do Slack, dados de cartões de pagamento, frases-semente de carteiras de criptomoedas, sessões ativas de Discord, Telegram, Steam e Roblox, tokens OAuth da Microsoft, chaves SSH e de provedores de nuvem, perfis de Wi-Fi e capturas de tela.
Depois da coleta, o VOLTA enriquece os dados pesquisando recibos no Gmail da vítima de plataformas como Amazon, DoorDash, Uber Eats, Grubhub, Walmart e PayPal para confirmar o endereço físico. Com essas informações, o malware monta um dossiê com geolocalização, empregador e domínio corporativo, ano de nascimento estimado e os últimos quatro dígitos do cartão.
O diferencial do VOLTA infostealer IA é usar modelos de linguagem para ranquear a vítima. As requisições passam pelo OpenRouter, um gateway unificado com mais de 1 mil modelos de dezenas de laboratórios. O padrão é o Claude Opus 4.6 da Anthropic. Se ele recusar a tarefa, o malware tenta o Kimi K2 da Moonshot AI e, em seguida, o Gemini 2.5 Flash do Google. O sistema verifica frases de recusa antes de passar para o próximo modelo.
O prompt de sistema tem cerca de 240 palavras e define o modelo como um "analista de inteligência forense". A saída inclui avaliação de valor dos ativos em três níveis (baixo, médio, alto) e uma seção sobre a postura de segurança da vítima.
Os dados são enviados ao operador pelo Telegram em três etapas: após a execução, após a análise de IA e após o enriquecimento com recibos. O template do malware tem 6 campos preenchidos na compilação, sugerindo um modelo de serviço (MaaS) com binários personalizados por cliente.
Segundo a Talos, a camada de IA não aumenta a velocidade ou a escala do ataque, mas reduz o esforço analítico do operador. Um cliente sem habilidade técnica pode receber avaliações ranqueadas de vítimas diretamente no Telegram.
Por que isso importa para o seu negócio
O VOLTA infostealer IA aponta uma tendência relevante para empresas: atacantes com menos habilidade técnica agora têm acesso a ferramentas de triagem automatizada. Dispositivos de funcionários com o malware instalado podem ter credenciais corporativas, chaves de API e dados financeiros ranqueados e priorizados para exploração.
As melhores medidas de proteção incluem: rotação regular de chaves de API e credenciais de nuvem, uso de gerenciadores de senha com armazenamento local em vez de salvar no navegador, autenticação multifator em todas as contas corporativas e monitoramento de logs de acesso para detectar sessões suspeitas.
O VOLTA também demonstra como os próprios modelos de IA podem ser usados como ferramentas em ataques, reforçando a necessidade de políticas claras sobre o uso de IA no ambiente corporativo.
O relatório completo da Cisco Talos está disponível em blog.talosintelligence.com. Outros malwares recentes que exploram identidade de IA: malware usando phishing com ChatGPT e Claude.
Conteúdo reescrito e traduzido para PT pela redação luiscortex, revisado por humano.
Fonte: The Hacker News
