Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
VOLTA-AUTODOXER è un malware per Windows che utilizza modelli di intelligenza artificiale per analizzare password, account, acquisti online e abitudini delle vittime. Attraverso servizi LLM esterni, crea profili economici e identifica i bersagli più redditizi per i criminali informatici, automatizzando la selezione delle potenziali vittime.
L’intelligenza artificiale (AI) sta diventando un nuovo analista di informazioni per i criminali informatici. Un nuovo malware di tipo info-stealer VOLTA-AUTODOXER, che infetta i sistemi Windows, è stato progettato per inviare i dati personali rubati a modelli linguistici di grandi dimensioni (LLM) e valutare il valore economico delle vittime per i criminali. Lo ha rivelato un’analisi del team di ricerca Cisco Talos, pubblicata il 31 ottobre 2026 da WIRED.
Questo malware non si limita a rubare password o informazioni delle carte di credito. Analizza anche le attività online e le abitudini personali delle vittime, identificando i bersagli più redditizi in base alle informazioni raccolte. Un caso che dimostra come l’uso dell’AI nel cybercrime stia evolvendo ulteriormente. VOLTA-AUTODOXER è un info-stealer che prende di mira l’ambiente Windows. L’ambito delle informazioni raccolte da VOLTA è piuttosto ampio.
Tra i principali obiettivi di raccolta ci sono le informazioni di accesso e le password salvate nei browser, i cookie, le informazioni delle carte di credito, i token di autenticazione Microsoft OAuth, le frasi di recupero dei portafogli di criptovalute e altro.
Inoltre, raccoglie anche le informazioni delle sessioni attive di vari servizi come Discord, Telegram, Steam e Roblox. Anche le impostazioni SSH, le informazioni di autenticazione relative al cloud e i profili delle reti wireless possono essere bersagli.
Un aspetto particolarmente degno di nota è la fase di analisi aggiuntiva che segue la raccolta iniziale delle informazioni.
VOLTA tenta di accedere anche agli account Gmail delle vittime utilizzando le informazioni di autenticazione già acquisite. In questo modo, può cercare le ricevute di acquisto e le cronologie degli ordini di servizi come Amazon, DoorDash e Uber Eats, ottenendo informazioni che consentono di stimare la residenza e le abitudini di vita delle vittime.
Presi singolarmente, possono sembrare semplici registri di acquisti online o email, ma combinando diverse informazioni è possibile ottenere una comprensione piuttosto dettagliata del pattern di vita, dell’identità e della situazione economica di una persona.
La funzione più unica di VOLTA è il profiling delle vittime tramite intelligenza artificiale.
Il malware organizza le informazioni raccolte in dati strutturati e le invia a modelli linguistici di grandi dimensioni esterni tramite l’API OpenRouter. Successivamente, assegna all’AI il ruolo di esperto in digital forensics e analisi delle informazioni, chiedendo di redigere un rapporto di valutazione complessiva sulle vittime.
Tra gli elementi che l’AI è richiesta di analizzare ci sono l’identità, la professione, i beni economici, le attività online e le abitudini di sicurezza delle vittime.
In particolare, il prompt include un elemento denominato **“WHAT THEY’RE WORTH”**.
L’AI è progettata per valutare quali beni o account posseduti dalla vittima possano generare il maggior profitto per i criminali, analizzando anche le abitudini di utilizzo delle password e il livello di protezione degli account.
In altre parole, gli attaccanti non hanno bisogno di esaminare manualmente i dati raccolti da numerosi sistemi infetti. L’AI organizza e analizza le informazioni, identificando prima i bersagli di maggior valore.
Un altro aspetto interessante emerso dall’analisi di Cisco Talos è che VOLTA è progettato per utilizzare sequenzialmente più modelli AI.
Utilizza principalmente Anthropic Claude Opus 4.6, ma se la richiesta viene rifiutata o non elaborata correttamente, passa a Moonshot AI Kimi K2 e successivamente a Google Gemini 2.5 Flash come modelli alternativi.
Il malware verifica anche se la risposta dell’AI contiene espressioni che indicano un rifiuto. Se un modello rifiuta la richiesta, passa al successivo per l’analisi.
Questa struttura può essere vista come un tentativo di continuare l’analisi senza dipendere dai meccanismi di sicurezza o dai limiti di risposta di un servizio AI specifico.
Tuttavia, la funzione AI non è essenziale. Anche in assenza di una chiave API valida o in situazioni in cui non è possibile eseguire l’analisi AI, VOLTA può comunque raccogliere informazioni tramite le funzioni tradizionali dell’info-stealer.
L’analisi di Cisco Talos suggerisce anche la possibilità che VOLTA non sia uno strumento personalizzato per un singolo attaccante, ma un prodotto realizzato per essere utilizzato da più criminali.
Il malware include una struttura che consente di inserire valori di configurazione specifici per l’acquirente. Questo permette di configurare le chiavi API e le informazioni relative a Telegram e di generare file di esecuzione personalizzati per l’utente.
Ciò suggerisce che il creatore del malware potrebbe aver considerato un modello di business in cui lo strumento viene fornito o venduto ad altri criminali quello che normalmente chiamiamo Malware as a sService (MaaS).
Se questa struttura si diffonde, anche i criminali con scarse capacità di analisi dei dati potranno utilizzare l’AI per analizzare grandi quantità di informazioni rubate e determinare le priorità degli attacchi.
Un punto importante è che Cisco Talos ha dichiarato di non aver potuto confermare l’uso effettivo di VOLTA in attacchi reali.
Pertanto, non si può affermare con certezza che questo malware sia già ampiamente diffuso o che stia effettivamente analizzando le vittime con l’AI. Tuttavia, la direzione tecnologica mostrata da VOLTA è degna di nota.
Mentre gli info-stealer tradizionali si concentrano sulla raccolta e l’invio delle informazioni all’esterno, VOLTA cerca di automatizzare anche il processo di analisi successivo. L’obiettivo è ridurre il tempo che gli attaccanti devono dedicare alla revisione dei dati e alla selezione dei bersagli tramite l’AI.
Per gli utenti, è importante gestire in modo sicuro le password e i token di autenticazione salvati nel browser e attivare l’autenticazione multifattoriale (MFA). È anche necessario evitare l’esecuzione di programmi sospetti. Se si sospetta un’infezione, è consigliabile cambiare le password da un dispositivo sicuro e revocare le sessioni attive e i token di autenticazione.
Il ruolo dell’intelligenza artificiale nel cybercrime non si limita più alla scrittura di malware o all’automazione degli attacchi. Ora l’AI può essere utilizzata anche per analizzare i dati personali rubati, valutare il valore economico delle vittime e aiutare i criminali a decidere chi attaccare per primo.
In definitiva, la maggiore innovazione introdotta da VOLTA non risiede nella tecnologia di furto dei dati, ma nel fatto che la tecnologia per analizzare e valutare le persone con i dati rubati sta diventando sempre più automatizzata.
RHC4Edu nasce dalla volontà della community di Red Hot Cyber di portare la cultura della cybersecurity, dell’intelligenza artificiale e del digitale direttamente nelle scuole, mettendo gratuitamente a disposizione degli studenti l’esperienza di professionisti, ricercatori e specialisti del settore. Il progetto è ufficialmente operativo e permette agli istituti interessati di richiedere workshop gratuiti e incontri con gli esperti della community, attraverso un coordinamento della redazione che mette in relazione le esigenze della scuola con le competenze e la disponibilità dei professionisti presenti sul territorio.
L’obiettivo di RHC4Edu non è trasformare gli studenti in tecnici informatici, ma aiutarli a sviluppare consapevolezza e pensiero critico davanti a un mondo sempre più digitale. Cybersecurity, truffe online, privacy, social network, cyberbullismo, fake news e intelligenza artificiale diventano così argomenti da affrontare con esempi concreti e con il contributo diretto di chi lavora quotidianamente nel settore. Un’iniziativa costruita sulla condivisione della conoscenza e sul volontariato della community, perché portare queste competenze nelle aule significa anche offrire ai ragazzi la possibilità di conoscere nuove professioni, sviluppare curiosità e imparare a vivere la tecnologia in modo più sicuro e consapevole.
Prenota il tuo workshop gratuito con gli esperti di Red Hot Cyber.