VOLTA usa un modelo para priorizar los datos que roba a víctimas de Windows

Cisco Talos publicó el 31 de octubre un análisis de VOLTA-AUTODOXER, una muestra de malware para Windows que no se limita a robar credenciales: después reúne información de la víctima y consulta un modelo para ordenar qué activos podrían tener más valor para un delincuente. La primera observación que Talos atribuye a esta muestra fue el 11 de octubre. El informe describe una capacidad concreta; no prueba cuántos equipos la recibieron ni que se haya utilizado en una campaña amplia.

El núcleo sigue siendo el de un infostealer: recopila contraseñas guardadas en navegadores, cookies de navegador, tarjetas de pago, sesiones activas y secretos de carteras de criptomonedas. Talos también observó tokens de acceso OAuth de Microsoft, claves SSH y de proveedores cloud, perfiles Wi-Fi y sesiones de servicios como Discord, Telegram, Steam y Roblox. Es material que puede servir para entrar directamente en cuentas o para preparar accesos posteriores; que la muestra pueda recogerlo no significa que todos esos datos se hayan obtenido en cada infección.

-SecureCrew dice: robar una cookie ya da trabajo; VOLTA además quiere que alguien le haga el inventario de lo que merece la pena.-

Del secreto robado al perfil de la víctima

La segunda pasada que Talos describe aprovecha algunas sesiones robadas para enriquecer el conjunto. La muestra puede buscar recibos en Gmail para asociar una dirección, consultar pedidos de comida y ampliar perfiles de Discord; también valora inventarios de Roblox mediante un servicio externo. El resultado deja de ser una carpeta de credenciales sin contexto y pasa a incluir pistas sobre domicilio, empleo, hábitos y activos digitales.

Después, VOLTA serializa ese material y lo envía a OpenRouter, un servicio que puede dirigir solicitudes a distintos modelos. El prompt pide al modelo que actúe como analista y produzca una evaluación estructurada: qué activos parecen monetizables y qué revela la información sobre la seguridad de la persona. En este diseño, el modelo de lenguaje (LLM) no instala el malware ni consigue el acceso inicial; procesa datos ya recopilados y ayuda a priorizar el trabajo del operador.

-SecureCrew dice: poner una etiqueta de “valor alto” a los datos no crea el acceso, pero sí puede decidir qué cuenta recibe atención primero.-

La configuración observada tenía una ruta principal con Claude Opus 4.6 y alternativas con Kimi K2 y Gemini 2.5 Flash si la respuesta inicial se negaba a completar la tarea. Talos interpreta esa cadena como una previsión ante los rechazos de los modelos. La fase de IA es opcional: el stealer puede seguir funcionando sin ella. La inferencia se realiza desde la conexión de la propia víctima y el resultado se incorpora después a un archivo que el malware prepara para extraer.

Qué sabemos y qué puede comprobar la defensa

Los límites de evidencia importan: Talos señala que la muestra se elimina a sí misma y que no encontró infraestructura controlada por el atacante entre los endpoints observados. Eso limita lo que puede deducirse sobre su operador y distribución. WIRED recoge que Talos no había seguido si VOLTA se utilizó en sistemas reales; por tanto, el informe no justifica hablar de una ola de infecciones, de víctimas confirmadas ni de atribución a un actor conocido.

Para detectar parte de la cadena, Talos recomienda restringir qué procesos pueden iniciar Chrome con --headless y alertar cuando lo haga un proceso que no pertenezca a un entorno de desarrollo conocido. La medida apunta a una ruta que el análisis vincula con la elusión de App-Bound Encryption de Chrome; no equivale a una detección completa del malware ni cubre por sí sola las otras fuentes de credenciales y sesiones que recopila.

-SecureCrew dice: una regla útil tiene alcance; la frase “bloquea todo VOLTA” no aparece en el informe.-

Como rastro local, si un equipo pudo estar comprometido, Talos aconseja conservar el archivo volta_debug.txt del directorio %APPDATA%, que puede registrar qué recogió la muestra y si tuvo éxito la consulta al modelo. También recomienda revocar tokens posiblemente expuestos y cambiar contraseñas; si una frase semilla de criptomoneda estaba guardada en texto claro, tratar esa cartera como comprometida y trasladar los fondos a otra creada con una semilla nueva fuera de línea. Son medidas condicionadas a una exposición posible, no una afirmación de que todos los usuarios de Windows deban rehacer sus cuentas.

La novedad de VOLTA no es que una IA convierta por sí sola un equipo en una víctima: es que el malware intenta reducir el trabajo manual posterior al robo. Para los defensores, el riesgo sigue empezando en la captura de credenciales y sesiones, mientras que la clasificación automática puede acelerar la selección de objetivos si el operador obtiene datos útiles. El informe de una muestra merece atención técnica, pero aún deja abierta la pregunta de cuánta actividad real hay detrás.

Diccionario de la Crew

Infostealer — malware diseñado para extraer credenciales, sesiones y otros datos de un dispositivo.
Cookie — dato que un navegador conserva para mantener o reconocer una sesión; si se roba, puede facilitar el uso de esa sesión según las protecciones del servicio.
Token de acceso — credencial temporal que permite a una aplicación o usuario acceder a un servicio sin volver a introducir la contraseña.
OpenRouter — servicio intermediario que dirige solicitudes a modelos de distintos proveedores.
Modelo de lenguaje (LLM) — sistema que procesa y genera texto a partir de instrucciones y datos de entrada.