Investigadores de Cisco Talos, la división de seguridad informática de la compañía Cisco, han identificado un software malicioso que, después de extraer información de un equipo infectado, entrega esos datos a un chatbot de inteligencia artificial para que elabore un perfil completo del usuario. La herramienta, bautizada como VOLTA-AUTODOXER, está diseñada para funcionar en Windows y ordena los archivos digitales según su potencial de explotación.
El nombre del programa proviene de su propia identificación interna. El término “doxear” hace referencia a la acción de recolectar y divulgar información personal de una persona. El descubrimiento fue publicado el 31 de octubre en el blog oficial de Talos, bajo la autoría del investigador Ryan Fetterman, y posteriormente difundido por la revista Wired.
VOLTA-AUTODOXER pertenece a la categoría de los denominados infostealers, es decir, programas creados específicamente para sustraer información de equipos comprometidos. Suele camuflarse en aplicaciones falsas. Talos logró detectarlo mediante CAIRN, una herramienta interna que emplea inteligencia artificial para identificar software de ataque.
Un expediente digital minucioso
En una primera fase, el programa extrae los siguientes datos del equipo infectado:
- Contraseñas almacenadas en los navegadores
- Cookies de sesión
- Tarjetas de pago registradas
- Frases de recuperación de billeteras de criptomonedas
- Sesiones activas de Discord, Telegram, Steam y Roblox
- Claves de acceso a servidores remotos
- Contraseñas de todas las redes WiFi guardadas en el equipo
Posteriormente, realiza una segunda extracción utilizando las sesiones ya robadas. Según el informe de Talos, el malware ingresa al correo Gmail de la víctima para localizar recibos de plataformas como Amazon, DoorDash, Uber Eats, Grubhub, Walmart y PayPal, con el fin de confirmar la dirección de domicilio. Además, revisa el historial de pedidos de comida y estima el valor de la cuenta de Roblox.
Con toda esta información, el programa genera un archivo llamado IdentityReport.txt, que contiene ubicación geográfica, empleador, año de nacimiento aproximado y los últimos cuatro dígitos de las tarjetas bancarias. Dicho archivo es enviado a un modelo de inteligencia artificial a través de OpenRouter, un servicio que distribuye las consultas entre distintos proveedores de modelos de lenguaje.
Las instrucciones que recibe el modelo, de aproximadamente 240 palabras según Wired, le exigen actuar como un “analista forense de inteligencia” que redacte una evaluación del objetivo. El informe debe incluir el valor financiero de la víctima, su nivel de seguridad, y conectar datos aparentemente inconexos, como si la contraseña del WiFi coincide con el apellido del usuario.
Mecanismo de consulta a la IA
El modelo que el programa intenta usar en primer lugar es Claude Opus 4.6, desarrollado por Anthropic. El código verifica si la respuesta contiene frases de rechazo como “no puedo”. Si las detecta, entonces recurre a Kimi K2, de la empresa china Moonshot AI, y posteriormente a Gemini 2.5 Flash, de Google.
Según Fetterman, esta cadena de alternativas indica que los creadores del malware anticipaban que los filtros de seguridad de los modelos podrían bloquear la solicitud.
“El mensaje está cuidadosamente redactado para no sugerir nada abiertamente malicioso”, declaró el investigador a Wired.
Cabe señalar que el programa puede funcionar sin el componente de inteligencia artificial, que es un módulo adicional.
El resultado final se comprime y se envía a los atacantes en un archivo llamado voltadox.zip. Talos también descubrió que el código incluye una plantilla con seis campos que se completan al compilar cada copia, lo que sugiere que el programa se vende como servicio a distintos clientes. No se encontró infraestructura propia de los autores; todos los puntos de conexión observados pertenecen a terceros.
Pasos a seguir en caso de infección
El ejecutable se elimina a sí mismo, pero deja en la carpeta de datos de aplicaciones un archivo de registro denominado volta_debug.txt, que contiene la lista de lo robado y si la consulta a la inteligencia artificial se completó. Talos recomienda conservar ese archivo, revocar todas las sesiones comprometidas y cambiar las contraseñas. Si la frase de recuperación de una billetera de criptomonedas estaba almacenada en texto plano, la billetera debe considerarse comprometida y los fondos deben trasladarse a una nueva.
Fetterman aclaró a Wired que Talos no ha investigado si VOLTA-AUTODOXER se utiliza en ataques reales. Para el investigador, este caso demuestra que atacantes con poca experiencia ahora tienen acceso a herramientas más avanzadas:
“Es realmente interesante y perturbador”.
El informe de Talos no reporta víctimas confirmadas hasta el momento.
Fuente: Infobae