Cisco Talos publicó el 31 de octubre de 2026 un análisis de un infostealer para Windows llamado VOLTA, que se autodenomina “VOLTA-AUTODOXER”. El hallazgo central no es solo el robo de datos, sino lo que ocurre después: el malware crea un dossier estructurado sobre la víctima y lo envía a un modelo de lenguaje para que clasifique los activos más valiosos y evalúe los hábitos de seguridad de la persona.
Qué recopila VOLTA
Según Talos, la recolección inicial es amplia y habitual en este tipo de amenaza: contraseñas guardadas en el navegador, cookies y tarjetas guardadas, sesiones de servicios como Discord, Telegram, Steam y Roblox, tokens de Microsoft, claves SSH y de proveedores de nube, frases semilla de billeteras de criptomonedas, perfiles de Wi-Fi guardados y capturas de pantalla. Después, una etapa de enriquecimiento reutiliza las sesiones robadas, por ejemplo, para buscar recibos de compras en el correo y estimar el valor de inventarios, con el fin de confirmar la dirección, el empleador y otros datos del perfil.
El material se organiza localmente en un informe de identidad y se envía a través de OpenRouter, un servicio que dirige llamadas a modelos de distintos proveedores. El modelo predeterminado señalado por Talos es Claude Opus 4.6, de Anthropic, con una cadena de respaldo que pasa por Kimi K2, de Moonshot AI, y luego por Gemini 2.5 Flash, de Google, si la respuesta contiene frases de rechazo como “I can’t” o “I’m not able”. La respuesta esperada incluye una sección sobre lo que la víctima “vale”, con activos clasificados por valor de monetización, y otra sobre su postura de seguridad.
Qué está confirmado y qué no
Es importante separar lo confirmado de lo que sigue siendo inferencia. Confirmado por Talos: la existencia de la muestra analizada, vista por primera vez el 11 de octubre de 2026, y el diseño de la etapa de IA en el código, incluida la cadena de modelos y la temperatura fija de 0,2. No confirmado: Talos no afirma que VOLTA se haya observado en ataques reales, ni que alguno de los modelos mencionados haya aceptado o rechazado realmente las solicitudes en un ataque. La etapa de IA es opcional: sin una clave de API configurada, el malware sigue funcionando como un ladrón de credenciales convencional.
Talos también interpreta el formato del malware —seis campos configurables completados en el momento de la compilación, como un canal de Telegram y claves de API— como indicio de un modelo de “constructor”, en el que un autor vendería acceso y cada cliente recibiría una copia personalizada. Esa lectura es una inferencia del equipo de investigación, no una confirmación de ventas ni de clientes identificados, y el análisis no señala infraestructura propia del atacante entre los endpoints observados.
Cómo protegerse, según Talos
Como contramedida, Talos recomienda una política de control de aplicaciones que restrinja qué procesos pueden iniciar Chrome con la bandera headless, una vía usada para parte del robo de tokens, además del almacenamiento de credenciales con respaldo de hardware. En caso de compromiso, la orientación es conservar el registro de recolección, revocar los tokens potencialmente comprometidos, cambiar las contraseñas y tratar como totalmente comprometida cualquier billetera cuya frase semilla estuviera en texto plano en el disco.
Crédito de la imagen: Cisco Talos, en el análisis original sobre VOLTA.
Transparencia: este artículo fue producido con ayuda de inteligencia artificial, a partir del cruce de publicaciones públicas y de las fuentes de internet indicadas abajo. Consulte las fuentes originales para verificar los detalles.
Sources: Cisco Talos — Appraisal by AI: Model-driven victim prioritization in the VOLTA infostealer e Unite.AI — Cisco Talos Details VOLTA Infostealer’s LLM Victim-Ranking Stage
Muse
