Novo infostealer embarca IA para análise automática de alvos
Investigadores da Cisco Talos identificaram uma nova cepa de malware que incorpora capacidades de IA para criar perfis automáticos de vítimas e destacar os alvos mais valiosos. A amostra, chamada internamente de Volta‑Autodoxer, foi revelada em pesquisa compartilhada com Kernel Panic e mostra como LLMs comerciais estão sendo integrados a malwares já existentes.
O Volta age como um infostealer clássico, frequentemente disfarçado em software pirata. Ele coleta nomes de usuário, senhas, tokens de autenticação, cookies, dados de cartão de crédito e frases de semente de carteiras criptográficas de máquinas infectadas. O malware também captura sessões ativas em Discord, Telegram, Steam e Roblox. Depois, realiza uma segunda varredura mais profunda, examinando contas centrais como Gmail para construir um retrato mais completo da pessoa, incluindo localização e hábitos, a partir de dados de recibos e histórico de pedidos de servios como UberEats e DoorDash.
Os dados coletados são enviados a modelos de linguagem via OpenRouter, que permite consultas a diversos provedores de IA. O Volta utiliza Claude Opus 4.6 como opção principal, mas possui mecanismos de fallback para o modelo Moonshot AI Kimi K2 (open weight da China) e, caso necessário, para o Google Gemini 2.5 Flash. A cadeias de fallback são uma estratégia comum entre atacantes para contornar barreiras impostas por provedores.
O invasor inclui um prompt de 240 palavras, estruturado com marcadores e uma lista numerada, instruindo a IA a atuar como analista de intel forense. A IA é solicitada a produzir um resumo executivo, detalhes sobre as atividades da vítima, uma avaliação do valor da pessoa e um diagnóstico de sua segurança operacional. O texto orienta o modelo a conectar informações de diferentes campos, como verificar se a senha do Wi-Fi coincide com o sobrenome da pessoa, e a priorizar profundidade em vez de amplitude.
O framework CAIRN da Cisco Talos detectou o malware, que ainda não foi observado sendo usado em ataques reais. A detecção faz parte de um esforço maior para identificar ferramentas de hacking que integram IA, refletindo um crescimento na adoção de LLMs por criminosos para tarefas de codificação e análise de informações roubadas. Pesquisadores da Crowdstrike relataram recentemente o uso de ferramentas de IA por pelo menos quatro grupos de atacantes diferentes, operando em múltiplos idiomas, para comprometer entidades governamentais e empresas de saúde, varejo e viagens.
Segundo Ryan Fetterman, analista da Cisco Talos, o Volta é uma ferramenta madura e amplamente aplicável. A capacidade de identificar rapidamente alvos de alto valor aumenta a probabilidade de que credenciais e tokens roubados sejam utilizados antes que expirem ou sejam alterados. Essa evolução torna funcionalidades avançadas acessíveis a atacantes com menor grau de sofisticação, um desenvolvimento que a comunidade de segurança considera tanto interessante quanto preocupante.
“O Volta é um roubo bastante completo. Ele reúne todas essas informações, criando um dossiê estruturado que pode ser enviado a alguns modelos de linguagem. Pede-se ao modelo que aja como analista de intel e produza uma avaliação citada e estruturada da vítima. É uma função de priorização e análise”, comenta Fetterman.
Com informações de: Wired Security