VOLTA-AUTODOXER: il nuovo malware Windows che usa l'IA per scegliere le vittime più ricche

Un nuovo malware per sistemi Windows, denominato VOLTA-AUTODOXER, è in grado di utilizzare l'intelligenza artificiale per valutare la redditività dei propri attacchi. Secondo quanto riportato dal gruppo di ricerca Cisco Talos, il software malevolo raccoglie dati sensibili dai computer infetti e li sottopone a modelli linguistici avanzati per determinare se la vittima rappresenti un bersaglio di alto valore. Il sistema è progettato per agire in modo automatizzato, fornendo ai criminali informatici un'analisi dettagliata del profilo della vittima e delle sue difese digitali senza richiedere una gestione manuale dell'infrastruttura di analisi.

Il funzionamento di VOLTA-AUTODOXER si basa sull'invio di un pacchetto di informazioni a modelli di intelligenza artificiale, impostando come predefinito Claude di Anthropic, specificamente la versione Claude Opus 4.6. Il malware istruisce l'intelligenza artificiale affinché operi come un analista dell'intelligence, richiedendo valutazioni dirette, specifiche e precise sulla vulnerabilità dell'utente. Se il modello di Anthropic rifiuta la richiesta per motivi di sicurezza, il software tenta di scalare su altre soluzioni, come Kimi K2 di Moonshot AI o Gemini 2.5 Flash di Google. In assenza di una risposta dai modelli AI, i dati vengono comunque inviati agli aggressori tramite un canale Telegram, sebbene privi dell'analisi generata dagli algoritmi.

La fase di esfiltrazione delle informazioni è particolarmente capillare. Il software sottrae password dai browser, cookie di sessione, dati salvati delle carte di pagamento e profili di posta elettronica di software come Thunderbird e Outlook. L'interesse degli sviluppatori del malware si estende anche al mondo del gioco online: vengono infatti rubati account Roblox e token Microsoft OAuth. Nel caso di Roblox, il malware utilizza il servizio Rolimons per calcolare il valore economico degli oggetti virtuali posseduti dall'utente. Inoltre, vengono catturati screenshot dello schermo e file di configurazione relativi a servizi cloud e connessioni SSH.

Un elemento distintivo di questa minaccia è l'uso dei dati estratti da Gmail per profilare geograficamente la vittima. Analizzando le ricevute di servizi di consegna e acquisti come Amazon, DoorDash, Uber Eats, Grubhub, Walmart e PayPal, il malware riesce a confermare l'indirizzo fisico dell'utente. Vengono raccolti anche dettagli sulla posizione lavorativa, il dominio aziendale, l'anno di nascita presunto e i metadati dei documenti creati. Se viene individuato un portafoglio di criptovalute, il software tenta di forzarne l'accesso direttamente durante l'esecuzione, anziché limitarsi alla sola copia dei dati.

Sul piano tecnico, VOLTA-AUTODOXER riesce a superare protezioni moderne come l'App-Bound Encryption di Chrome avviando il browser in modalità headless, ovvero senza interfaccia grafica. Questa tecnica permette di aggirare alcuni vincoli di sicurezza, rendendo più semplice la decrittazione dei dati salvati. Il malware è distribuito come servizio per altri hacker, che possono configurare parametri personalizzati come chiavi API e canali di ricezione. Una volta completata l'operazione, il file principale può autodistruggersi per eliminare le tracce, lasciando sul disco solo un file di log chiamato volta_debug.txt. Gli esperti raccomandano agli utenti colpiti di revocare immediatamente tutti i token, cambiare le password e aggiornare le chiavi API utilizzate sui sistemi infetti.