🛡 MALWARE 🛡

VOLTA, el infostealer que consulta a una IA sobre qué víctimas valen la pena atacar.

⏰3 de noviembre de 2026🛡CyberObservatorio

Idioma

◢ MALWARE ◣

VOLTA, el infostealer que consulta a una IA sobre qué víctimas valen la pena atacar.

⟫ 02/11/2026 ⟫ Pierluigi Paganini

Fuente: Security Affairs

**Análisis de VOLTA: Un nuevo infostealer que utiliza inteligencia artificial para clasificar sus víctimas**

En el panorama actual de la ciberseguridad, la proliferación de malware especializado se ha convertido en una preocupación constante para usuarios y empresas. Recientemente, Cisco Talos ha identificado un infostealer de Windows denominado VOLTA, que se autodenomina VOLTA-AUTODOXER. Este malware no solo roba datos convencionales, sino que también incorpora un sofisticado sistema de inteligencia artificial (IA) para clasificar el valor de las víctimas. La investigación, llevada a cabo por Ryan Fetterman y publicada en un informe de Talos, revela un enfoque innovador en la que el cibercrimen se apoya en la automatización y la inteligencia de máquinas para optimizar sus operaciones.

La relevancia de VOLTA radica en su capacidad para vulnerar la seguridad de sistemas operativos de gran uso, como Windows, y en la forma en que combina técnicas de robo de información con análisis impulsados por IA. Esto afecta no solo a individuos, que pueden ver comprometidas sus credenciales y datos personales, sino también a empresas que dependen de la seguridad de sus sistemas para proteger la información de sus clientes y sus propios activos.

VOLTA es un infostealer autoeliminable que no se comunica con servidores controlados por el atacante, sino que opera a través de sistemas de terceros para llevar a cabo sus actividades ilícitas. Esto complica la detección y mitigación del malware, ya que su trazabilidad es limitada. Tras ser ejecutado, el malware se borra a sí mismo, lo que dificulta la recuperación de evidencias.

Desde una perspectiva técnica, VOLTA emplea mecanismos avanzados para recopilar información sensible. Es capaz de robar contraseñas de navegadores, cookies y detalles de tarjetas de pago de navegadores basados en Chromium, así como datos de Firefox, Thunderbird y Outlook. Además, accede a información de espacios de trabajo de Slack y sesiones de plataformas como Discord, Telegram, Steam, Battle.net y Roblox. También recolecta tokens de Microsoft OAuth, claves SSH, credenciales de servicios en la nube, capturas de pantalla y todas las contraseñas de Wi-Fi guardadas en el dispositivo infectado.

Un aspecto notable de VOLTA es su capacidad para crear un perfil detallado de la víctima. Esto incluye información sobre su ubicación, dirección de residencia, empleador, año estimado de nacimiento, los últimos cuatro dígitos de sus tarjetas de pago, datos de espacios de trabajo en Slack y detalles sobre documentos creados. También busca respaldos de iPhone y verifica el valor actual de la cuenta de Roblox de la víctima. Este enfoque meticuloso no solo maximiza el valor del robo, sino que también ayuda a los atacantes a personalizar sus estrategias de explotación.

El proceso de análisis de VOLTA culmina en un envío de datos a OpenRouter, un servicio de enrutamiento para modelos de IA, donde se genera un informe que actúa como un análisis forense. Este informe incluye una sección titulada “QUÉ VALOR TIENEN”, que clasifica los activos monetizables de la víctima en niveles de bajo, medio y alto, así como una evaluación de su postura de seguridad y hábitos de gestión de contraseñas en la sección “SU OPSEC”. Este enfoque ilustra cómo VOLTA convierte un registro de credenciales crudo en un expediente bien estructurado y respaldado.

El malware se comunica con la IA mediante solicitudes construidas a mano en formato JSON, y puede operar sin la etapa de IA si no se proporciona una clave de API. Esto sugiere que el autor del malware anticipó medidas de seguridad y diseñó formas de eludirlas. El análisis de IA se lleva a cabo directamente en la máquina de la víctima, utilizando su propia conexión a Internet, antes de que cualquier dato sea enviado. El malware crea un archivo denominado Identity_Report.txt, recibe la respuesta de la IA en AI_Analysis.txt y envía ambos archivos juntos en un archivo ZIP llamado volta_dox.zip.

El proceso de envío de datos robados se puede realizar en hasta tres etapas. El primer archivo, volta_log.zip, contiene la información recopilada por el malware, mientras que el segundo, volta_dox.zip, incluye el análisis de la IA. Si se encuentra información adicional de la red, se crea un tercer archivo, volta_doxnet.zip. Todo esto es enviado al atacante a través de un canal de Telegram, lo que añade una capa adicional de dificultad para su rastreo.

Interesantemente, VOLTA cuenta con seis campos configurables que pueden ser personalizados al momento de su construcción, lo que sugiere que su autor podría ofrecer un servicio de construcción que permita a los clientes crear sus propias versiones personalizadas. Aunque las credenciales almacenadas en estos campos están cifradas, la debilidad del cifrado radica en que la clave se encuentra dentro del mismo malware, lo que permite a cualquier analista recuperar dicha información con relativa facilidad.

Si VOLTA se comercializa como un producto, su funcionalidad de IA podría permitir incluso a delincuentes inexpertos identificar víctimas valiosas y recibir perfiles detallados y clasificados directamente a través de Telegram. Esto plantea un reto significativo para la ciberseguridad, ya que democratiza el acceso a herramientas que antes estaban reservadas para actores más experimentados.

Desde la perspectiva de la defensa, Talos recomienda establecer políticas de control de aplicaciones que restrinjan qué procesos pueden iniciar Chrome con el flag –headless, lo que bloquearía el bypass de App-Bound Encryption. Al menos, se sugiere generar alertas cuando Chrome se inicie con –headless desde un proceso que no esté en un conjunto de desarrolladores conocido. Almacenar credenciales en tiendas respaldadas por hardware también puede contribuir a la mitigación de este tipo de amenazas.

En caso de que un usuario sea víctima de VOLTA, aunque el programa principal haya eliminado su rastro, se aconseja conservar el archivo %APPDATA%\volta_debug.txt. Este archivo contiene un registro con fecha y hora de lo que fue recopilado y si la llamada a la IA funcionó. Se deben revocar cualquier token expuesto y cambiar contraseñas. Si la frase semilla de una cartera de criptomonedas se encontraba en texto plano en el disco, es fundamental considerar la cartera como completamente comprometida y trasladar los fondos a una nueva cartera cuya frase semilla haya sido generada en un dispositivo aislado.

Como conclusión, VOLTA representa un infostealer maduro al que se le ha añadida una capa de IA en una etapa avanzada, con el objetivo de liberar al operador de la carga del trabajo analítico. Este malware refleja una lógica subyacente similar a la que se observa en otras herramientas del cibercrimen: identificar el paso que requiere la mayor atención humana y reemplazarlo por una llamada a un modelo. La cuestión para los defensores no es si este patrón aparecerá en otros lugares, sino cuál será la próxima fase que tocará.

Para más información sobre ciberseguridad y hacking, puedes seguirme en Twitter: @securityaffairs y en Facebook y Mastodon.

**Pierluigi Paganini** (SecurityAffairs – hacking, malware)

◢ MALWARE ◣

VOLTA, the infostealer that asks an AI which victims are worth the effort

⟫ 02/11/2026 ⟫ Pierluigi Paganini

Source: Security Affairs

Cisco Talos has analyzed a new Windows infostealer called VOLTA, which calls itself VOLTA-AUTODOXER. It steals the usual data, then hands the loot to a large language model that ranks what the victim is worth. Ryan Fetterman laid it out in aTalos report, after the malware turned up through the CAIRN research effort. “There is a new idea in the cybercrime world — cast a wide net, steal everything, and let AI sort out the specifics. A new malware self-named “VOLTA-AUTODOXER,” surfaced through theCAIRN research effort, is a self-deleting Windows infostealer that augments its post-theft workflow with an LLM-powered victim-profiling stage.” reads thereportpublished by Talos. The malware deletes itself after running and does not use servers controlled by the attacker. Instead, it uses third-party systems to carry out its activities. The malicious code supports data-stealing features are advanced. It collects browser passwords, cookies and saved payment card details from Chromium browsers, as well as data from Firefox, Thunderbird and Outlook. It also steals Slack workspace information and login sessions from Discord, Telegram, Steam, Battle.net and Roblox. The malware also collects Microsoft OAuth tokens, SSH keys, cloud service credentials, screenshots and all saved Wi-Fi passwords. For crypto wallets, it tries to crack the wallet password directly on the infected device and saves the results in its report. To steal some browser tokens, it must bypass Chrome’s App-Bound Encryption. But VOLTA goes further. It also builds a detailed profile of the victim. This includes their location and home address, employer and company domain, estimated year of birth, the last four digits of payment cards, Slack workspaces and information about who created documents. It also looks for signs of iPhone backups and checks the current value of the victim’s Roblox account. “After harvesting the standard stealer haul, including browser passwords; cookies; payment cards; cryptocurrency wallet seed phrases; Discord, Telegram, Steam, and Roblox sessions; Microsoft OAuth tokens; SSH and cloud-provider keys; Wi-Fi profiles; and screenshots, VOLTA builds a structured evidence bundle about the person behind the machine.” states the report. It uses the victim’s own logged-in sessions to fill the gaps. It searches Gmail for receipts from Amazon, DoorDash, Uber Eats, Grubhub, Walmart and PayPal to confirm a home address, pulls order histories from Uber Eats and DoorDash, and adds detail to the victim’s Discord profile. Even a takeout history can now count as evidence. The bundle goes to OpenRouter, a routing service for AI models, with a system prompt that tells the model to act as a forensic intelligence analyst drafting a target assessment. “The required output includes a section titled “WHAT THEY’RE WORTH” with valuables ranked by monetization with a low/medium/high tier, and a section on “THEIR OPSEC” containing an assessment of the victim’s security posture and password hygiene.” states the report. “The model is the operator’s triage analyst; it turns a raw credential log into a prioritized and citation-backed dossier of the victim and their monetizable assets.” It also needs a section called “THEIR OPSEC”, rating the victim’s security habits and password hygiene. In short, it’s a performance review for the person it just robbed. The prompt asks for something agents do well: connecting scattered facts. It pushes the model to link names, addresses or universities to patterns in the victim’s passwords. The model isn’t hunting for new data, only stretching what the malware already took. The operator wants a short, blunt assessment with a trail of citations. By default VOLTA calls Anthropic’sClaude Opus 4.6. If the model refuses, which VOLTA spots by scanning replies for phrases like “I can’t” or “I’m not able”, it moves on to Moonshot AI’s Kimi K2 and then Google’s Gemini 2.5 Flash. A low temperature setting of 0.2 keeps the output consistent. The requests are hand-built JSON with no software kit, and the malware still runs without the AI stage if no API key is present. Talos sees the fallback system as evidence that the malware’s author expected security protections and designed ways to bypass them. The AI analysis runs directly on the victim’s computer, using their own internet connection, before any data is sent out. The malware creates a file called Identity_Report.txt, receives the AI’s response in AI_Analysis.txt, and sends both files together in a ZIP archive called volta_dox.zip. The stolen data can be sent to the attacker in up to three stages. The first archive, volta_log.zip, contains the information collected by the malware. The second, volta_dox.zip, contains the AI analysis. A third archive, volta_doxnet.zip, is created if the malware finds additional network information. The attacker receives everything through a Telegram channel. The malware also has six configurable fields that can be changed when it is built. This suggests that its author may offer a builder service, allowing customers to create their own customised versions. The credentials stored in these fields are encrypted, but the encryption is weak because the key is stored inside the malware itself. Anyone who analyses the file can recover them. If VOLTA is sold as a commercial product, its AI feature could allow even inexperienced criminals to identify valuable victims and receive detailed, ranked profiles directly through Telegram. For defense, Talos suggests an application control policy that restricts which processes can launch Chrome with the –headless flag, which would block the App-Bound Encryption bypass. At minimum, alert when Chrome starts with –headless from any process outside a known developer set. Storing credentials in hardware-backed stores also helps. If you’re compromised, the main program may have deleted itself, but try to keep %APPDATA%\volta_debug.txt. It’s a timestamped log of what was collected and whether the AI call worked. Revoke any exposed tokens and change passwords. If a wallet’s seed phrase sat in plaintext on disk, treat the wallet as fully compromised and move the funds to a new wallet whose seed was generated on an air-gapped device. “VOLTA is a mature stealer with a late-stage AI layer added for one purpose: relieving the operator of analytical work. The axis of AI improvement here is not speed or scale but effort displacement; the same logic visible inCLOSEDQUORUM, though applied to a different phase.” concludes the post. “These implants reflect the same underlying logic: Identify the step that requires the most sustained human attention and replace it with a model call. The question for defenders is not whether this pattern will appear elsewhere, but which phase it touches next.” Follow me on Twitter:@securityaffairsandFacebookandMastodon Pierluigi Paganini (SecurityAffairs– hacking, malware)

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD