Este ladrão de palavras-passe entrega os seus dados a um modelo de IA e pergunta quanto vale
Os infostealers sempre foram ferramentas de volume. Infetar milhares de PCs, despejar tudo, vender os registos ao quilo e deixar que outro escave à procura do que presta. O VOLTA, analisado pelo investigador Ryan Fetterman, da Cisco Talos, num relatório publicado a 31 de outubro, acrescenta um passo: depois de acabar de roubar, escreve um relatório sobre si. A amostra apareceu pela primeira vez a 11 de outubro e dá pelo nome de VOLTA-AUTODOXER.
A parte do roubo é minuciosa, mais do que inovadora. Palavras-passe guardadas, cookies e cartões de pagamento dos navegadores baseados no Chrome, mais o Firefox e o Thunderbird. Perfis do Outlook e espaços de trabalho do Slack. Sessões iniciadas no Discord, Telegram, Steam, Battle.net e Roblox. Tokens de início de sessão da Microsoft, capturas de ecrã e todas as palavras-passe de Wi-Fi que o PC alguma vez guardou, mais um quebrador de ficheiros de carteiras de criptomoedas. Depois vem a parte estranha. Usa a sua sessão roubada do Gmail para pesquisar na caixa de entrada recibos da Amazon, DoorDash, Uber Eats, Walmart e PayPal, para confirmar a sua morada, e consulta o valor de revenda atual do seu inventário do Roblox.
Tudo isso segue, através de um serviço intermediário chamado OpenRouter, para um modelo de IA convencional, por omissão o Claude Opus 4.6 da Anthropic, com uma instrução de sistema que lhe atribui o papel de «analista forense de informações a redigir uma avaliação de alvo». Se o modelo recusar, o malware procura na resposta expressões como «I can't» e tenta o Kimi, da Moonshot, e depois o Gemini, da Google. O relatório que pede tem duas secções: «WHAT THEY'RE WORTH» (quanto valem), que classifica os seus bens como de valor baixo, médio ou alto, e «THEIR OPSEC» (a sua segurança operacional), uma nota para os seus hábitos com palavras-passe. A Talos di-lo sem rodeios: o objetivo «não é velocidade nem escala, mas deslocação de esforço». Perceber que vítimas roubar primeiro exigia uma pessoa. Agora exige uma única chamada à API. A Talos não comunicou vítimas confirmadas, e o desenho em kit de construção sugere que se destina a ser vendido. A defesa é aborrecida e eficaz: não guarde frases-semente nem palavras-passe em ficheiros de texto simples, use um gestor de palavras-passe com verificação em dois passos, e trate qualquer transferência «pirateada» ou instalador falso como a carrinha de entregas em que este tipo de coisa chega.
A verificação de Privacidade & contas do Tendvane é uma forma rápida de ver quais das suas contas ainda dependem de uma única palavra-passe, que é exatamente a fraqueza que um relatório como este foi feito para encontrar.