Un novedoso malware para sistemas Windows, bautizado como Volta-Autodoxer, está revolucionando la forma en que los ciberdelincuentes recopilan y procesan información. Este infostealer, o ladrón de información, se diferencia del resto al utilizar modelos de lenguaje de inteligencia artificial comercial para estructurar y enriquecer los datos obtenidos de sus víctimas.
Volta-Autodoxer roba una amplia variedad de datos críticos que incluyen contraseñas almacenadas en navegadores, cookies, detalles de tarjetas de pago y frases semilla de carteras de criptomonedas. Además, captura sesiones activas de plataformas populares como Discord, Telegram, Steam y Roblox, junto con tokens de autenticación de Microsoft OAuth, claves SSH y de proveedores en la nube, perfiles de redes Wi-Fi y capturas de pantalla.
Pero lo que realmente distingue a este malware es su habilidad para generar un expediente detallado y estructurado del usuario atacado. Este expediente incluye datos como geolocalización, dirección particular, empresa y dominio del empleador, año de nacimiento estimado, últimos cuatro dígitos de tarjetas, espacios de trabajo en Slack, metadatos de autoría de documentos, indicadores de copias de seguridad de iPhone y una valoración financiera en tiempo real de la cuenta de Roblox. 
Asimismo, Volta-Autodoxer profundiza en el análisis mediante el acceso robado a sesiones para buscar en la bandeja de entrada de Gmail de la víctima recibos de compras. Así verifica la dirección residencial, extrae el historial de pedidos de servicios de entrega y amplía la información de las cuentas de Discord a partir de los tokens sustraídos.
Ryan Fetterman, investigador de Cisco Talos, destaca que “lo que realmente diferencia a Volta de otros malware comunes es la fase de enriquecimiento en tiempo real que utiliza las sesiones robadas para analizar exhaustivamente los datos del usuario”. Este proceso consta en la consulta directa de recibos de Amazon, DoorDash, Uber Eats, Grubhub, Walmart y PayPal, así como en la recuperación del historial de pedidos en Uber Eats y DoorDash mediante sesiones comprometidas.
Los datos recopilados son enviados a OpenRouter, bajo una instrucción que define al modelo como un «analista forense de inteligencia elaborando una evaluación del objetivo». El resultado solicitado incluye una sección denominada “QUÉ VALEN”, donde se clasifican los activos del objetivo según su valor económico en categorías baja, media y alta. Otra sección, “SU OPSEC”, evalúa las prácticas de seguridad y la calidad de la gestión de contraseñas del usuario.
El diseño del malware está construido sobre una arquitectura con múltiples modelos de lenguaje. Esto permite que, si alguna solicitud es rechazada o el modelo responde con frases como “no puedo” o “no estoy autorizado”, Volta cambia a otro modelo de respaldo, realizando una cadena de hasta tres modelos diferentes para asegurar la obtención de la información.
Fetterman explica que “la configuración de temperatura del modelo, que controla el grado de aleatoriedad en la generación del texto, está fijada en un valor bajo de 0.2. Esto indica que el atacante prioriza la precisión y la coherencia en las respuestas.” Además, el uso de una cadena escalable de modelos sugiere que el autor prevé enfrentarse a posibles bloqueos, cambiando a modelos más pequeños y permisivos según sea necesario.
En cuanto a las medidas defensivas, Cisco señala que muchas de las técnicas del malware para robar tokens residen en vulnerar el cifrado App-Bound Encryption (ABE) de Chrome. Por ello, imponer políticas de control de aplicaciones que limiten qué procesos pueden lanzar Chrome en modo headless bloquearía estas vías de descifrado. Asimismo, se recomienda monitorizar y alertar cuando un proceso desconocido lance Chrome en este modo.
En caso de infección, aunque el ejecutable principal puede autodestruirse, es vital conservar el archivo “APPDATA%volta_debug.txt”, que contiene un registro detallado con la información recolectada y el éxito de la llamada a los modelos de lenguaje.
Por último, Cisco aconseja a los usuarios afectados revocar todos los tokens potencialmente comprometidos y cambiar todas las contraseñas. Respecto a las carteras de criptomonedas, si las frases semilla han quedado almacenadas en texto plano, se debe considerar la cartera como totalmente comprometida y migrar los fondos a una nueva cartera generada en un dispositivo desconectado de la red.
