A equipa de investigação da Cisco Talos identificou uma nova ameaça informática desenhada para extrair o máximo valor financeiro dos utilizadores afectados. Baptizado VOLTA-AUTODOXER, este malware foi desenhado para sistemas operativos da Microsoft e eleva o patamar de sofisticação ao integrar ferramentas avançadas de análise automatizada. Ao contrário das ameaças tradicionais que se limitam a recolher informações avulsas, este código água como um analista forense. O principal objectivo passa por compilar um dossiê exaustivo sobre a vítima e submetê-lo a um modelo de linguagem para avaliar a rentabilidade do ataque. Esta abordagem reflete uma tendência crescente no mercado paralelo, numa altura em que já foi descoberto malware autónomo controlado por inteligência artificial em incidentes de segurança anteriores.
Recolha intensiva e enriquecimento de dados pessoais
O raio de acção do VOLTA-AUTODOXER abrange praticamente todos os recantos digitais do computador infectado. O programa extrai palavras-passe guardadas no browser, cookies de navegação, cartões de pagamento memorizados e perfis de correio electrónico de clientes como o Thunderbird e o Outlook. A lista de alvos inclui ainda contas da plataforma Roblox, tokens de autenticação da Microsoft, capturas de ecrã e ficheiros de configuração de serviços na nuvem. As palavras-passe de redes sem fios guardadas no sistema são extraídas em texto limpo. Quando detecta carteiras de criptomoedas, o código não se limita a copiar os ficheiros, pois tenta quebrar a segurança dos cofres virtuais em tempo real. Para contornar a encriptação associada às aplicações do Google Chrome, o software malicioso executa o browser de forma invisível, sem interface gráfica, o que lhe permite aceder a sessões activas.
A verdadeira perigosidade desta ameaça reside na capacidade de enriquecer os dados recolhidos. O programa pesquisa activamente a caixa de correio do Gmail à procura de recibos de serviços como a Amazon, a Uber Eats, a DoorDash, o Walmart e o PayPal para confirmar a morada física da vítima. O histórico de encomendas de entrega de comida é analisado minuciosamente, enquanto o token roubado do Discord serve para preencher lacunas no perfil do utilizador. Os itens virtuais do Roblox são avaliados através da plataforma Rolimons. Toda esta informação passiva é transformada num pacote de provas estruturado que inclui a geolocalização, a entidade patronal, o ano de nascimento deduzido e os últimos quatro dígitos dos cartões bancários.
Modelos de linguagem e processamento da informação
Após a compilação local da informação num ficheiro de texto, os dados são convertidos para o formato JSON e enviados para o OpenRouter através da própria ligação de rede da vítima. O pedido inclui instruções precisas para que a inteligência artificial actue de forma directa e exacta na criação de uma avaliação do alvo. O modelo principal utilizado por defeito é o Claude Opus 4.6 da Anthropic, configurado com uma temperatura de 0,2. Este valor extremamente baixo indica que os criadores da ameaça procuram respostas altamente previsíveis e consistentes, minimizando a aleatoriedade gerada pelo processamento. O objectivo final passa por obter uma lista dos bens da pessoa ordenada pelo valor financeiro que pode ser extraído, acompanhada de uma análise sobre as práticas de segurança e higiene de palavras-passe do utilizador.
Os programadores do software anteciparam a possibilidade de os mecanismos de segurança da inteligência artificial recusarem o tratamento de dados roubados. O programa monitoriza as respostas em busca de frases de recusa ou análises superficiais. Caso o modelo da Anthropic bloqueie o pedido, o sistema transita automaticamente para o Kimi K2 da Moonshot AI e, se necessário, para o Gemini 2.5 Flash da Google. O resultado desta avaliação é guardado num ficheiro de texto e comprimido juntamente com os dados originais num arquivo ZIP. Se o operador não fornecer chaves de acesso para o OpenRouter, o programa ignora a etapa de análise automatizada e envia apenas os dados em bruto.
Comercialização no submundo e eliminação de vestígios
A estrutura do VOLTA-AUTODOXER indica que se trata de um produto desenhado para revenda a outros cibercriminosos. O código base inclui um modelo com seis espaços modificáveis que são preenchidos no momento da compilação do ficheiro executável. Estes espaços destinam-se a acomodar canais personalizados do Telegram, chaves de interface de programação e definições específicas do comprador. Embora estas credenciais estejam encriptadas no ficheiro final, a sua recuperação é tecnicamente possível. Este modelo de negócio garante que o cliente recebe as avaliações de alvos directamente na sua conta do Telegram, sem depender de infraestruturas mantidas pelos criadores originais do software malicioso.
No final de todo o processo de recolha e envio de dados, o ficheiro executável principal tem a capacidade de se eliminar automaticamente do sistema para dificultar a detecção. Apesar desta tentativa de ocultação, a infecção costuma deixar para trás um ficheiro de registo de depuração no computador da vítima. Este documento detalha toda a informação que foi recolhida e indica se a chamada aos modelos de linguagem decorreu com sucesso. A existência deste rasto sublinha a importância de revogar imediatamente todas as chaves de acesso e aplicar políticas rigorosas de controlo de aplicações nos sistemas operativos. Estas defesas podem bloquear a execução invisível do Chrome e mitigar uma parte significativa do roubo de credenciais, embora não consigam travar a extracção de outros ficheiros locais.
