Ciberdelincuentes crean VOLTA-AUTODOXER, un malware avanzado que utiliza IA para analizar y identificar los datos robados más valiosos.

• Se ha detectado la aparición de VOLTA-AUTODOXER, un sofisticado programa malicioso que aprovecha la inteligencia artificial para procesar grandes cantidades de información. Este malware no solo roba datos, sino que utiliza la IA para analizar y seleccionar la información más valiosa de las víctimas, demostrando que la tecnología avanzada también puede ser utilizada como una herramienta peligrosa por los ciberdelincuentes.

La IA es un arma de doble filo, pues por una parte podemos ver su utilidad y por otro lado debido a esto hay inseguridades y dudas que nos plantea su uso. Por ejemplo, sabemos que puede hacer muchos tipos de tareas, pero a su vez es la que se encargará de reemplazarnos debido a ello. Lo mismo en ciberseguridad, pues es capaz de detectar vulnerabilidades, pero a su vez plantea riesgos de seguridad. Debido a esto, ahora tenemos un caso de ciberdelincuentes usando IA para crear un malware más avanzado llamado VOLTA-AUTODOXER.

Entre los modelos de IA más conocidos tenemos a ChatGPT de OpenAI y Claude de Anthropic, siendo estos los referentes principales. Entre los dos, tenemos a más de 1.000 millones de personas activas mensuales que usan la inteligencia artificial activamente para recibir asistencia de todo tipo. Aunque estos modelos de inteligencia artificial se han usado para el bien, también comienzan a usarse para el mal, pues si no hay controles e impedimentos, la IA va a ayudar a crear herramientas maliciosas más avanzadas

VOLTA-AUTODOXER, malware creado con IA Claude que analiza la información robada de los PC infectados

Un nuevo malware para Windows denominado VOLTA-AUTODOXER ha sido descubierto por los investigadores de ciberseguridad de Cisco Talos. Este programa malicioso destaca por utilizar inteligencia artificial, concretamente Claude de Anthropic, para analizar la información robada de los ordenadores infectados y determinar qué víctimas tienen mayor valor económico para los ciberdelincuentes. A diferencia de los tradicionales programas dedicados al robo de información, VOLTA-AUTODOXER no se limita a recopilar datos personales, sino que utiliza modelos de IA para elaborar informes detallados sobre cada víctima, identificar sus activos más valiosos y determinar cuáles podrían resultar más rentables para futuros ataques.

Una vez instalado en un ordenador, el malware recopila contraseñas almacenadas en navegadores, cookies, tarjetas bancarias, cuentas de correo electrónico de Outlook y Thunderbird, credenciales de Roblox, contraseñas de redes Wi-Fi, capturas de pantalla, claves de acceso a servicios en la nube y monederos de criptomonedas. También puede aprovechar sesiones abiertas de Gmail para buscar recibos de compras realizadas en Amazon, Walmart o PayPal y consultar historiales de pedidos de Uber Eats y DoorDash. Con esta información intenta determinar la dirección real de la víctima, su ubicación, empresa donde trabaja, edad aproximada, hábitos de consumo y posibles recursos económicos. Incluso puede intentar descifrar determinados monederos de criptomonedas protegidos mediante contraseña.

Si Claude se niega a cumplir la petición usan otros modelos de IA como Kimi K2 y Gemini 2.5 Flash

Toda la información recopilada se organiza en un expediente digital que se envía a través de OpenRouter para que sea analizado por Claude Opus 4.6. La inteligencia artificial recibe instrucciones para comportarse como un analista de inteligencia y elaborar un informe sobre la víctima, clasificando sus activos según su valor económico y evaluando posibles debilidades de seguridad. Entre los aspectos examinados se encuentran la calidad de las contraseñas, las cuentas comprometidas y las oportunidades que podrían aprovechar los atacantes para obtener beneficios económicos.

Una de sus características más preocupantes es que puede cambiar automáticamente de modelo de inteligencia artificial. Si Claude se niega a procesar la solicitud, el malware intenta utilizar Kimi K2 de Moonshot AI y posteriormente Gemini 2.5 Flash de Google. Además, si no dispone de acceso a ningún modelo, puede continuar funcionando sin inteligencia artificial, recopilando y enviando directamente los datos robados a los delincuentes. Los resultados se almacenan junto con el informe original en un archivo comprimido denominado "volta_dox.zip", que posteriormente se envía mediante Telegram. El malware también parece estar diseñado para comercializarse entre ciberdelincuentes, ya que permite generar versiones personalizadas con diferentes configuraciones, claves de acceso y canales de Telegram.

Otra característica destacable es su capacidad para eliminar su propio archivo ejecutable después del ataque, dificultando su detección y el análisis posterior. Sin embargo, puede dejar un archivo de registro denominado "volta_debug.tx"t, que permite conocer qué información ha recopilado y si consiguió completar el análisis mediante inteligencia artificial.