Infostealer VOLTA usa modelo de inteligência artificial para classificar vítimas pelo valor que podem render

A Cisco Talos documentou o VOLTA, um infostealer para Windows, ou seja, um programa que rouba senhas, cookies e dados de pagamento do computador da vítima e que se apaga depois de rodar.

Um roubo que vira um dossiê

O que chama a atenção é uma etapa opcional em que um modelo de inteligência artificial recebe os dados roubados e produz uma avaliação do valor de cada vítima.

O programa coleta senhas de navegadores, cookies, cartões de pagamento, frases de recuperação de carteiras de criptomoedas, sessões de Discord, Telegram e Steam, tokens da conta Microsoft, chaves de SSH e de serviços em nuvem, perfis de Wi-Fi e capturas de tela.

Com esses dados, o programa monta um pacote com a localização aproximada, o endereço, o empregador, os quatro últimos dígitos de um cartão e outros indícios sobre a pessoa.

Em seguida, ele usa as sessões roubadas para confirmar o endereço, procurando recibos de compra no Gmail e o histórico de pedidos em aplicativos de entrega.

A avaliação feita por IA

O pacote é enviado a um modelo de IA por meio de um serviço intermediário, com uma instrução para o modelo atuar como analista de inteligência forense e redigir uma avaliação do alvo.

A resposta traz uma classificação de valor em baixo, médio ou alto e uma seção sobre a postura de segurança da vítima e a qualidade das suas senhas.

Se o primeiro modelo se recusa a responder, o programa tenta outros modelos em sequência, o que a Talos interpreta como uma antecipação de recusas dos modelos.

A Talos observou que o VOLTA é vendido em forma de construtor, em que o comprador informa os próprios parâmetros e recebe um programa compilado para ele.

Os endpoints usados pelo programa são controlados por terceiros, e a Talos não encontrou uma infraestrutura própria do autor.

Limites do relatório

A Talos analisou uma amostra, e por isso o relatório descreve capacidades, não uma campanha medida, e não traz número de vítimas nem prova de que a avaliação por IA tenha sido usada em ataques reais.

Entre as medidas de proteção, a Talos cita restringir, por política de aplicativos, o lançamento do Chrome em modo sem interface por processos não confiáveis, porque esse é um dos caminhos para contornar a proteção de criptografia do navegador.

Depois de um ataque, a orientação é preservar o arquivo de registro com data e hora que o programa deixa no computador, porque ele mostra o que foi coletado e se a etapa de IA funcionou.

Tokens comprometidos devem ser revogados e as senhas trocadas, e se a frase de recuperação de uma carteira estava em texto puro no disco, a carteira deve ser considerada comprometida e os fundos, transferidos para uma carteira nova.