Volta, il malware che usa l'IA per schedare le sue vittime
I ricercatori di Cisco Talos hanno descritto un nuovo infostealer, chiamato Volta-Autodoxer, che dopo aver rubato credenziali e dati personali li invia a modelli di intelligenza artificiale per ottenere un profilo strutturato della vittima.
- Volta ruba password, cookie, token e dati di portafogli di criptovalute.
- Invia poi tutto a Claude, Kimi K2 o Gemini per ottenere un dossier sulla vittima.
- Cisco Talos non ha riscontrato finora un uso del malware in attacchi reali.
Come funziona
Un infostealer è un tipo di malware che ruba informazioni dal computer infettato: nomi utente, password, token di autenticazione, cookie dei browser, dati delle carte di pagamento. Spesso si nasconde dentro copie contraffatte di software. Secondo Wired, malware di questo tipo sono all'origine di alcune delle maggiori violazioni di dati degli ultimi anni e hanno sottratto centinaia di milioni di credenziali.
Volta raccoglie password salvate nei browser, token Microsoft OAuth, cookie, carte di pagamento e frasi di recupero dei portafogli di criptovalute, ma anche sessioni attive di Discord, Telegram, Steam e Roblox: un bersaglio che sembra orientato agli utenti più giovani. Poi fa un secondo passaggio più approfondito, per esempio frugando nella casella Gmail alla ricerca di ricevute e cronologia degli ordini di servizi come UberEats e DoorDash, per ricostruire abitudini e posizione della persona.
Il chatbot come analista
A quel punto entra in gioco l'intelligenza artificiale. Volta invia i dati raccolti tramite OpenRouter, un servizio che smista le richieste verso diversi fornitori di modelli linguistici. L'impostazione predefinita è Claude Opus 4.6 di Anthropic, con due alternative di riserva nel caso le protezioni del modello blocchino la richiesta: Kimi K2 della cinese Moonshot AI e Gemini 2.5 Flash di Google.
Le istruzioni inviate al chatbot sono un testo di circa 240 parole che gli chiede di comportarsi come un analista di intelligence forense e di produrre una valutazione del bersaglio: un riassunto esecutivo, che cosa fa la persona, quanto vale e quanto è attenta alla propria sicurezza. Il testo invita anche a collegare i dati tra loro, per esempio a verificare se la password del Wi-Fi coincide con il cognome. Secondo Ryan Fetterman di Cisco Talos, il prompt è formulato con attenzione per non apparire esplicitamente malevolo. Talos ha individuato Volta con CAIRN, un sistema sviluppato per riconoscere strumenti di attacco che integrano funzioni di IA, e precisa di non aver verificato se il malware sia già stato usato contro vittime reali.
Perché conta
Finora il problema dei dati rubati era anche la loro quantità: milioni di credenziali difficili da sfruttare una per una. Con un modello linguistico che fa da analista, i criminali possono individuare in fretta le vittime più redditizie e costruire attacchi mirati, dal ricatto alla truffa personalizzata.
Il caso mostra inoltre come i servizi commerciali di IA, con i loro meccanismi di ripiego tra fornitori diversi, possano essere inseriti dentro strumenti criminali già maturi. Per chi usa il computer tutti i giorni la difesa resta la stessa: evitare software pirata, attivare l'autenticazione a due fattori e cambiare le password compromesse.
