Una nueva amenaza combina el robo de información con inteligencia artificial para determinar qué víctimas podrían resultar más rentables. Investigadores de Cisco Talos identificaron una variante de malware llamada VOLTA-AUTODOXER, capaz de recopilar datos personales y credenciales, enviarlos a un modelo de IA y generar evaluaciones de cada objetivo.
El hallazgo fue posible gracias a CAIRN, un proyecto abierto de investigación en ciberseguridad diseñado para detectar y rastrear malware que utiliza inteligencia artificial. Cisco Talos no ha informado dónde encontró la amenaza, cuántos dispositivos se han visto afectados ni cómo se distribuye.
## Del robo de datos a la elaboración de perfiles
En su primera fase, VOLTA-AUTODOXER actúa como un infostealer convencional: recopila contraseñas y cookies del navegador, datos de tarjetas de pago, frases semilla de billeteras de criptomonedas y sesiones de Discord, Telegram, Steam y Roblox. También puede obtener tokens de Microsoft OAuth, claves SSH y de proveedores de servicios en la nube, perfiles de redes Wi-Fi y capturas de pantalla.
La diferencia está en lo que hace después. El malware reúne indicios para crear un perfil estructurado de la persona que utiliza el dispositivo. Entre los datos que puede buscar figuran la ubicación geográfica, el domicilio, el empleador y su dominio corporativo, un año de nacimiento estimado, los últimos cuatro dígitos de tarjetas, espacios de trabajo de Slack y metadatos de autoría en documentos. También puede comprobar si existen copias de seguridad de iPhone y estimar el valor de una cuenta de Roblox.
Según los investigadores, el programa puede revisar mensajes de Gmail de servicios como Uber Eats y DoorDash para corroborar un domicilio. Luego organiza la información y la envía mediante una solicitud a OpenRouter, una plataforma que permite acceder a distintos modelos de lenguaje a través de una sola API.
El sistema pide a la IA que actúe como analista de inteligencia forense y prepare una evaluación del objetivo. En la práctica, esto permite valorar los datos robados y priorizar a las víctimas que parezcan más atractivas para los delincuentes. Los investigadores señalan que esa selección podría facilitar operaciones posteriores, incluido el ransomware.
El modelo predeterminado es Claude. Si no está disponible o rechaza la solicitud, el malware puede recurrir a Kimi K2, de Moonshot AI, o a Gemini 2.5 Flash, de Google. Si ninguno funciona, envía los datos sin procesar a los operadores, habitualmente a través de un canal de Telegram.
## Borrado de rastros y posible distribución como servicio
Una vez completado el proceso, VOLTA-AUTODOXER intenta eliminarse del dispositivo, probablemente para dificultar su detección. Sin embargo, puede dejar un archivo llamado `volta_debug.txt` con información sobre los datos recopilados y el resultado del análisis de IA.
Cisco Talos considera que el malware podría distribuirse como una herramienta personalizable en mercados clandestinos. Algunos elementos, como el canal de Telegram y las claves de API, no están fijados de antemano. Además, la estructura incluye espacios configurables que permitirían generar versiones adaptadas a cada comprador.
“Si VOLTA es efectivamente un malware comercializado como producto, la capacidad de crear expedientes con IA no sería una función reservada a las operaciones del autor”, advierte Cisco Talos. Esa posibilidad reduciría la barrera técnica para que delincuentes con distintos niveles de experiencia obtengan evaluaciones de víctimas y reciban objetivos priorizados.
La combinación de robo de datos y perfilado automatizado puede hacer que los ataques sean más eficientes y personalizados. Por eso, conviene mantener los dispositivos y las aplicaciones actualizados, usar autenticación multifactor y desconfiar de archivos o enlaces inesperados.
Si sospecha que un dispositivo ha sido infectado, cambie sus contraseñas desde un equipo seguro y revoque o rote las claves de API y los tokens de acceso. Revise también las cuentas financieras y las billeteras de criptomonedas. Si una frase semilla pudo quedar expuesta, traslade los fondos a una billetera nueva con una frase semilla distinta.
from Latest from TechRadar https://ift.tt/8VAbgt3
via IFTTT IA
