Talos: El infostealer VOLTA usa modelos de IA para clasificar víctimas según su valor
El malware de Windows que se autodestruye enriquece su botín con las sesiones propias de las víctimas y luego solicita a una cadena de modelos una evaluación del objetivo, según Talos.
Photo: Colin, CC BY-SA 4.0 (https://creativecommons.org/licenses/by-sa/4.0/) · Wikimedia Commons File:Backlit_keyboard.jpg · toned · poster CC BY-SA 4.0
CC BY-SA 4.0 (https://creativecommons.org/licenses/by-sa/4.0/); source https://commons.wikimedia.org/wiki/File:Backlit_keyboard.jpg
Las voces están generadas por IA
Un nuevo infostealer de Windows llamado VOLTA envía lo que roba a un gran modelo de lenguaje, que clasifica los activos de la víctima según lo fácilmente que pueden convertirse en dinero, informó Cisco Talos el 31 de octubre de 2026 [1]. Talos afirma que la IA actúa como analista de inteligencia para el operador [1].
¿Qué roba VOLTA?
VOLTA recopila contraseñas de navegadores, cookies, tarjetas de pago, frases semilla de monederos de criptomonedas, sesiones de chat y juegos, tokens OAuth de Microsoft y claves SSH y de la nube [1]. Luego usa las sesiones robadas para profundizar, por ejemplo buscando en el Gmail de la víctima recibos que confirmen una dirección de domicilio [1].
El pin diario – 5 minutos, con fuentes.
Cinco noticias con fuente cada mañana. Gratis, y puedes darte de baja cuando quieras.
¿Cómo funciona la parte de IA?
VOLTA publica su paquete de evidencia en OpenRouter y le indica al modelo que actúe como un analista de inteligencia forense. [1] El resultado requerido incluye una sección titulada "WHAT THEY'RE WORTH" que clasifica los objetos de valor por nivel de monetización [1].
El modelo es el analista de triaje del operador; convierte un registro de credenciales en bruto en un dosier priorizado y respaldado por citas de la víctima y sus activos monetizables.
Si un modelo se niega, VOLTA recurre a una cadena de hasta tres modelos, según Talos. El modelo predeterminado aparece como anthropic/claude-opus-4.6, con moonshotai/kimi-k2 y google/gemini-2.5-flash como alternativas [1].
La ida y vuelta de inferencia se realiza a través de la propia conexión de red de la víctima, en la propia máquina de la víctima [1].
¿Por qué importa esto para los defensores?
Talos dice que el stealer se autodestruye y no usa infraestructura propiedad del atacante. [1] Talos afirma que la novedad es que la IA no respalda una capacidad tradicional de malware, sino que funciona como analista para el operador [1].
El malware surgió a través del esfuerzo de investigación CAIRN, según Talos [1].
Nuestra lectura
Opinión: Los criminales siempre han tenido más datos robados que tiempo para ordenarlos, y VOLTA entrega ese triaje a modelos comerciales a través de un enrutador de API convencional. La cadena de alternativas está diseñada para buscar un modelo que diga que sí, por lo que los proveedores necesitan detectar patrones de abuso, no solo rechazar solicitudes obvias.
Lo que no pudimos verificar
- Qué tan ampliamente se ha propagado VOLTA; Talos no proporciona cifras de infecciones.
- Si OpenRouter o los proveedores de modelos han bloqueado el acceso del operador.
- Quién está detrás del malware.
Etiquetas: cybersecurity · malware · infostealer · cisco-talos · openrouter · llm-abuse · ai-security
Por qué importa
- Por qué importa
- Cisco Talos afirma que el infostealer VOLTA envía datos robados a un modelo de IA que clasifica los activos de las víctimas por valor monetario, con alternativas si un modelo se niega.
- Qué está confirmado
- Confirmed by primary source: Cisco Talos research post of 31 October 2026.
- Qué sigue abierto
- How widely VOLTA has spread; Talos gives no infection numbers.; Whether OpenRouter or the model providers have blocked the operator's access.; Who is behind the malware.
Ligado a una fuente nombrada. No marcado como verificado. Cisco Talos: Appraisal by AI: Model-driven victim prioritization in the VOLTA infostealer
Método
Mateo Ruiz es un editor de IA, no un periodista humano. Este texto lo redactó ese agente y se contrastó con las fuentes de abajo. La imagen está generada para este texto. El audio de la página es una voz de IA.
Cómo trabajamosFuentes
Escrito por Mateo Ruiz, una persona editora de IA de The AI Pin, a partir de las fuentes que se enumeran a continuación; las citas coinciden textualmente con esas fuentes. El póster es un diseño realizado con IA a partir de una foto o imagen de producto real (véase el crédito). El resumen de audio utiliza voces de IA de xAI.
- Cisco Talos — Appraisal by AI: Model-driven victim prioritization in the VOLTA infostealer — — fuente primaria