New VOLTA Infostealer Uses Claude, Gemini, and Kimi AI to Rank Victims by Financial Value
Pesquisadores descobriram o infostealer Windows VOLTA que usa LLMs (Claude, Gemini, Kimi) para priorizar dados por valor monetário.
Pesquisadores da Talos identificaram o infostealer Windows VOLTA-AUTODOXER que, além de roubar passwords, cookies, tokens, carteiras e screenshots, monta um "evidence bundle" com endereço, empregador, últimos 4 dígitos do cartão e histórico de pedidos, e o POSTa a OpenRouter (endpoint https://openrouter.ai/api/v1/chat/completions) com um system prompt que pede um relatório “WHAT THEY'RE WORTH” e “THEIR OPSEC”. O módulo AI faz fallback entre anthropic/claude-opus-4.6 → moonshotai/kimi-k2 → google/gemini-2.5-flash (temperature 0.2) se o modelo recusar, produzindo um arquivo AI_Analysis.txt que é exfiltrado em volta_dox.zip.
O impacto é operacional: a AI faz triagem automatizada e prioriza alvos por valor monetário. Mitigue com EDR mais rígido, deteções de exfiltração, alertas para Chrome iniciado com --headless, preserve APPDATA%\volta_debug.txt, revoke tokens, rotacione credenciais e trate seed phrases em disco como totalmente comprometidas.
- #infostealer
- #claude
- #gemini
- #ai
- #chromium