Cibercriminosos estão usando modelos populares de inteligência artificial (IA) como o Claude, da Anthropic, o Gemini, do Google, e o Kimi AI, da Moonshot AI, para avaliar o valor financeiro de potenciais vítimas, incluindo aquelas que possuem criptomoedas.
Pesquisadores de segurança cibernética da Cisco Talos detalharam em um novo relatório como um novo tipo de malware para Windows chamado VOLTA-AUTODOXER, ou simplesmente VOLTA, rouba dados sensíveis e usa ferramentas de IA para identificar alvos potencialmente lucrativos entre usuários comprometidos.
Em comparação com malwares tradicionais de roubo de informações, que roubam principalmente senhas e credenciais, o VOLTA também pode analisar dados roubados para criar perfis de vítimas e determinar quais ativos os hackers podem potencialmente explorar para obter lucro.
Carteiras de criptomoedas como principais alvos
Notavelmente, uma das características mais perigosas do VOLTA é sua capacidade de extrair informações sensíveis de carteiras de criptomoedas, incluindo frases-semente de recuperação, o que pode potencialmente dar aos atacantes acesso a ativos digitais.
O VOLTA também inclui recursos que podem quebrar cofres de carteiras de criptomoedas, representando um grande risco para pessoas que armazenam suas credenciais de carteira de criptomoedas em seus computadores.
Mas seus recursos não se limitam a roubar criptomoedas.
Conforme explicado pelo pesquisador de segurança da Cisco Talos, Ryan Fetterman, o VOLTA também pode capturar senhas salvas no navegador, informações de cartões de pagamento, tokens de autenticação, credenciais de e-mail e sessões ativas em plataformas populares como Telegram, Discord, Steam e Roblox.
Ele também pode extrair informações de contas do Outlook e espaços de trabalho do Slack, bem como outras informações pessoais e profissionais no sistema infectado.
O malware também vai além ao analisar as contas de e-mail das vítimas para obter mais dados pessoais.
Por exemplo, ele pode escanear contas do Gmail em busca de confirmações de compra e recibos de serviços como Amazon, PayPal, Walmart, DoorDash e Uber Eats.
Dessa forma, os atacantes podem obter mais detalhes sobre a identidade da vítima, endereço residencial, trabalho e hábitos de consumo.
Modelos de IA como Claude, Gemini e Kimi
O malware pode enviar dados roubados para modelos de IA por meio do serviço OpenRouter, que fornece acesso a vários modelos de IA.
Ele primeiro tenta processar os dados coletados usando o Claude Opus 4.6, da Anthropic.
Se o modelo falhar em processar a solicitação, o VOLTA está programado para tentar o Kimi K2, da Moonshot AI, e o Gemini 2.5 Flash, do Google.
Conforme explicado pela Cisco Talos, o VOLTA procura especificamente por respostas de recusa antes de tentar usar um modelo de IA diferente.
Ele alimenta os dados coletados aos modelos de IA e pede que eles os analisem, fornecendo uma avaliação abrangente do valor financeiro de uma vítima.
Ele também pode ajudar a identificar ativos valiosos e então classificá-los com base em quão lucrativos podem ser. Ele também pode pontuar a segurança cibernética de uma vítima.
Essencialmente, ele permite que hackers usem modelos de IA para encontrar alvos potencialmente lucrativos sem a necessidade de vasculhar manualmente os dados roubados.
