Malware VOLTA-AUTODOXER usa IA para dossiês valiosos hoje

Segurança Digital

Novo malware utiliza inteligência artificial para criar perfis detalhados e selecionar alvos financeiros mais lucrativos.

Leia também: OpenAI reduz meta de captação a US$ 20 bi e freia expansão

Um novo malware para Windows batizado de VOLTA-AUTODOXER está usando inteligência artificial para transformar dados roubados em um dossiê detalhado e priorizado sobre cada vítima, incluindo valor financeiro estimado e falhas de segurança pessoal, o que aumenta a eficiência e o potencial de lucro dos ataques.

Malware rouba tudo e deixa IA decidir o que vale mais

O VOLTA-AUTODOXER atua como um infostealer: depois de infectar a máquina, ele coleta senhas de navegadores Chromium e Firefox, cookies, dados de cartões de pagamento, frases-semente de carteiras de criptomoedas, sessões de Discord, Telegram, Steam e Roblox, tokens OAuth da Microsoft, chaves SSH e de provedores de nuvem, perfis de Wi-Fi e capturas de tela.

Na sequência, o malware vai além do roubo bruto. Usando sessões roubadas, ele entra em contas da própria vítima em serviços como Gmail, Uber Eats, DoorDash e Discord para enriquecer o pacote de informações: busca recibos de compra para confirmar endereço residencial, puxa histórico de pedidos de entrega e avalia inventários digitais, como contas Roblox, via o site Rolimons.com.

Com isso, monta um relatório local chamado “Identity_Report.txt”, que reúne dados pessoais (como localização e endereço da casa), empregador e domínio corporativo, ano de nascimento inferido, últimos dígitos de cartões, espaços de trabalho no Slack, metadados de autoria de documentos, indícios de backups de iPhone e uma avaliação financeira da conta Roblox.

IA age como analista forense do cibercrime

O passo seguinte é o que torna o VOLTA-AUTODOXER especialmente preocupante: o malware envia esse relatório para a nuvem, via API do OpenRouter, para ser analisado por modelos de linguagem de grande porte.

O pacote segue acompanhado de um prompt de sistema que instrui o modelo a agir como “a forensic intelligence analyst drafting a target assessment”. Em outras palavras, a IA é orientada a se comportar como um analista de inteligência, organizando e interpretando o material coletado sobre a pessoa por trás da máquina.

O modelo gera um segundo documento, “AI_Analysis.txt”, com seções como “WHAT THEY’RE WORTH” — que classifica os bens da vítima por potencial de monetização em níveis baixo, médio ou alto — e “THEIR OPSEC”, que avalia a postura de segurança e a higiene de senhas do alvo. O resultado é um dossiê que não só lista o que foi roubado, mas indica o que vale mais atacar e por onde começar.

O operador configurou o modelo com temperatura 0,2, um valor baixo que privilegia previsibilidade e consistência nas respostas. A ideia é evitar improviso e garantir análises padronizadas, fáceis de comparar entre diferentes vítimas.

Cadeia de até três modelos e autodestruição

Para garantir que a etapa de IA quase nunca falhe, o VOLTA-AUTODOXER usa uma arquitetura multi-modelo: se um modelo recusa a tarefa, a resposta é checada em busca de frases como “I can’t” ou “I’m not able” e, em caso de negativa, o pedido é encaminhado para outro modelo, em uma cadeia de até três tentativas.

Essa “resiliência a recusas” mostra que o autor do malware já conta com mecanismos de segurança e filtros éticos dos provedores de IA, e tenta contorná-los usando modelos menores ou mais permissivos como fallback.

Depois de concluída a análise, os arquivos “Identity_Report.txt” e “AI_Analysis.txt” são compactados em “volta_dox.zip” e exfiltrados. Na mesma etapa, o executável principal do malware se apaga automaticamente do sistema infectado, para reduzir rastros e dificultar a investigação posterior.

Entenda o contexto

Segundo a equipe de pesquisa CAIRN, responsável por analisar o VOLTA-AUTODOXER, o código se comporta como um produto “de prateleira” do submundo digital. Em vez de um kit feito para uso exclusivo do autor, ele funciona como um builder: um gerador de binários personalizados para diferentes compradores.

O malware traz um template com seis campos que podem ser preenchidos no momento da compilação, como canais de Telegram e chaves de API, o que permite a qualquer operador apontar o mesmo motor de roubo e análise para seus próprios alvos. As credenciais são “disfarçadas” com criptografia fraca dentro do binário, mais para atender a expectativas dos clientes do que para oferecer proteção real.

Outro ponto relevante é que todos os pontos finais observados — desde a API de IA até os canais de saída dos dados — são operados por terceiros. Não há infraestrutura própria visível do criminoso, o que pode dificultar a atribuição e investigação.

They which person são alvos mais expostos?

Os principais alvos do VOLTA-AUTODOXER são usuários de Windows com forte presença em serviços digitais, principalmente quem acumula contas em plataformas de jogos, apps de entrega, serviços de nuvem e redes sociais, além de funcionários de empresas que guardam credenciais corporativas em navegadores e aplicativos pessoais.

Como o malware busca o máximo possível de dados e deixa para a IA decidir “o que compensa”, perfis muito diferentes podem ser classificados como lucrativos: desde quem tem saldo em criptomoedas ou inventários valiosos em jogos até quem possui acesso privilegiado a sistemas corporativos, o que abre caminho para extorsão ou ataques a empresas inteiras.

Na prática, a vítima não sofre apenas um roubo massivo de dados. Ela passa por um processo automatizado de triagem, em que sua vida digital é transformada em um dossiê analítico, com ranking de ativos exploráveis e avaliação do nível de cuidado com senhas e dispositivos.

Impacto para usuários e empresas

Para criminosos, a integração com IA desloca a parte mais trabalhosa do ataque: em vez de gastar tempo peneirando logs gigantes cheios de credenciais, o operador recebe um resumo pronto, com indicação de quais contas, cartões ou acessos valem mais o esforço.

Para usuários e empresas, a consequência é a ampliação do risco. Um único incidente de infecção pode resultar em fraudes financeiras, sequestro de contas, invasão de ambientes corporativos e exposição profunda de informações pessoais, tudo priorizado pela IA para maximizar retorno aos atacantes.

Pesquisadores apontam que esse modelo inaugura uma fase em que o uso de IA em malwares deixa de se concentrar apenas em automação ou velocidade e passa a focar em análise: identificar exatamente quem explorar, como e em que ordem, a partir de uma massa de dados roubados.

Como se proteger e o que fazer em caso de suspeita

Equipes de segurança recomendam reforçar a detecção de comportamentos anômalos em navegadores — como a execução do Chrome em modo headless por processos que não sejam ferramentas de desenvolvimento conhecidas — e privilegiar o armazenamento de senhas em cofres com proteção de hardware, em vez de deixá-las gravadas em texto claro ou apenas no navegador.

Em caso de suspeita de infecção por um infostealer como o VOLTA-AUTODOXER, a orientação é preservar arquivos de log que possam ter ficado na pasta de dados do aplicativo, revogar todos os tokens possivelmente comprometidos, trocar senhas de e-mail, redes sociais, jogos e serviços financeiros, além de tratar como totalmente comprometidas carteiras de criptomoedas cujas frases-semente tenham passado pelo computador, migrando fundos para uma nova carteira criada em dispositivo isolado.