Cisco Talos descrive la fase di VOLTA Infostealer che usa un LLM per classificare le vittime

Il 31 ottobre 2026, il ricercatore di Cisco Talos Ryan Fetterman ha pubblicato un’analisi di VOLTA-AUTODOXER, un malware per il furto di informazioni su Windows che si autodistrugge e che, dopo un’ampia fase di furto di credenziali, avvia una fase basata su un modello linguistico di grandi dimensioni, progettata per classificare le risorse monetizzabili di ciascuna vittima.

Talos descrive VOLTA come un impianto di furto di informazioni sofisticato, dotato di un livello opzionale di integrazione con l’IA, e afferma che tutti gli endpoint osservati sono controllati da terzi, senza infrastrutture di proprietà degli aggressori. Secondo la valutazione di Talos, la novità della fase basata sull’IA consiste nel fatto che il modello opera per conto dell’operatore come analista di intelligence, anziché supportare una funzionalità malware tradizionale: trasforma un registro grezzo di credenziali in un dossier prioritizzato delle risorse monetizzabili della vittima, corredato da citazioni.

Il malware è emerso nell’ambito dell’attività di ricerca CAIRN di Talos. Il 22 settembre 2026, Talos ha rilasciato e reso open source CAIRN, la Cognitive Artifact Intelligence Research Network, un toolkit per individuare, classificare e tracciare i malware integrati con l’IA tramite artefatti di metadati, come prompt incorporati, endpoint dei provider e chiavi API, senza scaricare né eseguire i binari sottostanti. Al momento del rilascio, Talos ha dichiarato che avrebbe condiviso nel tempo i risultati iniziali, a partire da CLOSEDQUORUM, un impianto descritto come un orchestratore di consenso multimodello completamente autonomo, privo di un operatore umano.

Raccolta ed estensione delle sessioni

Una singola esecuzione di VOLTA estrae credenziali, cookie e carte di pagamento salvate nei browser basati su Chromium, oltre ai dati di Firefox e Thunderbird, ai profili Outlook, agli spazi di lavoro Slack, alle sessioni di Steam e Battle.net, ai token Discord, alle sessioni Telegram, agli account Roblox, ai token OAuth Microsoft, ai file di configurazione SSH e dei provider cloud per gcloud, OpenVPN e Hide.me, ai profili Wi-Fi e agli screenshot. Invece di limitarsi a copiare i portafogli di criptovalute, durante la stessa esecuzione il malware utilizza uno strumento di cracking incorporato per attaccare il vault del portafoglio e registra l’esito nel proprio rapporto, sulla riga WALLET VAULTS CRACKED. Una chiamata diretta a WlanGetProfileList estrae in chiaro tutte le password Wi-Fi salvate sul dispositivo.

Una fase di arricchimento in tempo reale riutilizza quindi le sessioni sottratte. Con i token Gmail autenticati della vittima, VOLTA cerca nella posta in arrivo le ricevute di Amazon, DoorDash, Uber Eats, Grubhub, Walmart e PayPal per verificare l’indirizzo di casa. Recupera direttamente la cronologia degli ordini di Uber Eats e DoorDash, arricchisce il profilo Discord della vittima tramite il token sottratto e stima il valore dell’inventario Roblox consultando in tempo reale Rolimons.com. Il materiale raccolto viene assemblato localmente in un pacchetto strutturato di prove, che contiene geolocalizzazione e indirizzo di casa, datore di lavoro e relativo dominio, anno di nascita dedotto, ultime 4 cifre della carta, spazi di lavoro Slack, metadati sulla paternità dei documenti e indicatori di backup dell’iPhone; viene poi salvato come Identity_Report.txt e serializzato in formato JSON.

La valutazione restituita dal modello viene salvata come AI_Analysis.txt; l’esfiltrazione può avvenire tramite tre archivi in sequenza: volta_log.zip dopo l’esecuzione del malware, volta_dox.zip dopo la chiamata all’IA e volta_doxnet.zip se l’arricchimento di rete produce risultati.

La fase di classificazione con OpenRouter

Il pacchetto serializzato viene inviato con una richiesta POST all’endpoint chat-completions di OpenRouter, accompagnato da un prompt di sistema che istruisce il modello a comportarsi come «un analista forense di intelligence che redige una valutazione del bersaglio». L’output richiesto include una sezione intitolata «QUANTO VALGONO», che classifica gli oggetti di valore della vittima in base al valore di monetizzazione, suddividendoli in fasce bassa, media e alta, e una sezione «LA LORO OPSEC», che valuta il livello di sicurezza della vittima e le sue abitudini nell’uso delle password. Il prompt spinge inoltre il modello a collegare dati scarsi, per esempio associando il nome, l’indirizzo o l’università della vittima a schemi ricorrenti nelle sue password. Talos osserva che al modello non viene chiesto tanto di trovare dati, quanto di trarre inferenze che aumentino il valore di ciò che è già stato raccolto.

La configurazione codificata nel malware usa anthropic/claude-opus-4.6 come modello predefinito, con una sequenza di ripiego che passa prima a moonshotai/kimi-k2 e poi a google/gemini-2.5-flash, una temperatura di 0.2 e richieste JSON assemblate manualmente, senza SDK e con uno User-Agent Mozilla/5.0. Secondo Talos, la bassa temperatura suggerisce che l’operatore dia priorità all’accuratezza e alla coerenza; la sequenza a cascata è descritta come un passaggio a modelli più piccoli e meno inclini a rifiutare le richieste quando si verificano rifiuti.

VOLTA controlla ogni risposta del modello per individuare formule di rifiuto come «Non posso» prima di passare al modello successivo, in una sequenza che può comprendere fino a tre modelli; può inoltre funzionare senza alcuna fase basata su LLM se non è presente una chiave API. L’intero ciclo di inferenza e risposta viene eseguito sul dispositivo della vittima, tramite la connessione di rete della vittima stessa; il risultato viene esfiltrato solo in seguito.

Distribuzione tramite builder e contromisure

Invece di codificare nel malware il proprio canale Telegram, le chiavi API e le impostazioni, VOLTA viene compilato a partire da un modello con sei campi sostituibili, compilati al momento della creazione. Secondo Talos, questo indica un modello basato su un builder, in cui l’autore vende l’accesso, gli acquirenti forniscono i propri valori e per ogni ordine viene compilato un file binario personalizzato. Se il modello è questo, osserva l’analisi, il dossier generato dall’IA è una funzionalità commerciale che consente a clienti con qualsiasi livello di competenza di ricevere nella casella di posta di Telegram valutazioni dei bersagli ordinate per priorità, anziché essere una capacità sviluppata dall’autore per uso personale. Le credenziali dei campi sono cifrate con una chiave derivata dall’hash SHA-256 di due costanti presenti nello stesso file binario; secondo Talos, questa protezione è priva di efficacia sostanziale, perché chiunque analizzi il file può recuperarle.

Gran parte del furto di token da parte di VOLTA dipende dall’elusione di App-Bound Encryption in Chrome. Talos afferma che una policy di controllo delle applicazioni che limiti i processi autorizzati ad avviare Chrome con il flag headless bloccherebbe del tutto questa modalità di decrittazione e raccomanda, come minimo, di generare un avviso quando Chrome viene avviato in modalità headless da un processo imprevisto, oltre a utilizzare un sistema di archiviazione delle credenziali basato su hardware. Dopo una compromissione, Talos consiglia di conservare il file volta_debug.txt, un registro delle informazioni raccolte con l’indicazione dei timestamp, che documenta esattamente quali dati sono stati raccolti e se la chiamata all’LLM è riuscita; raccomanda poi di revocare i token potenzialmente compromessi e cambiare le password. Qualsiasi wallet la cui frase di recupero fosse archiviata in chiaro su disco va considerato completamente compromesso; i fondi vanno trasferiti in un nuovo wallet, la cui frase di recupero sia generata su un dispositivo isolato dalla rete.

Nell’interpretazione di Talos, il contributo del livello di IA consiste nel ridistribuire lo sforzo, non nell’aumentare la velocità o la scala: è la stessa logica di fondo individuata da Talos in CLOSEDQUORUM, applicata a una fase diversa dell’operazione. Con la maturazione dell’integrazione dell’IA nei malware, conclude l’analisi, la resilienza ai rifiuti potrebbe diventare un requisito di progettazione standard.

Talos elenca il campione analizzato come un binario PE32+ x86-64 con hash SHA-256 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279, rilevato con i nomi di file 9BY0tjwOc3ut.exe e yLP9m5J3i2Aw.exe, con un timestamp PE del 17 agosto 2026 e osservato per la prima volta alle 12:46 UTC dell’11 ottobre 2026.