Il 31 ottobre 2026 Cisco Talos ha pubblicato l’analisi di VOLTA-AUTODOXER, un malware per Windows capace di rubare credenziali, sessioni e dati finanziari per poi usare modelli di intelligenza artificiale nella valutazione delle vittime. Il campione esaminato non è associato, al momento, a campagne di infezione estese né a organizzazioni italiane colpite.
La novità non riguarda soltanto la quantità di dati sottratti, ma il modo in cui il malware cerca di trasformarli in un profilo economico. VOLTA prova infatti a stabilire quali accessi possano generare il maggiore guadagno per i criminali, riducendo il lavoro manuale normalmente necessario per analizzare un computer compromesso.
Come VOLTA trasforma i dati rubati in un profilo della vittima
Il malware agisce come un infostealer, una categoria di minacce progettata per raccogliere informazioni sensibili da dispositivi infetti. Tra gli obiettivi ci sono le password salvate nei browser, i cookie di sessione, i dati delle carte di pagamento e le credenziali utilizzate per accedere a servizi online.
VOLTA cerca inoltre chiavi SSH, credenziali cloud, token Microsoft, password delle reti Wi-Fi e informazioni contenute nei portafogli di criptovalute. L’attività può estendersi alle sessioni di piattaforme di messaggistica e gaming, ai file di configurazione e alle schermate del dispositivo.
Il valore di questi elementi non è uniforme. Una password relativa a un servizio secondario può avere un’utilità limitata, mentre una chiave di accesso a risorse cloud aziendali o una frase di recupero di un wallet può offrire opportunità economiche molto più consistenti. Il malware prova quindi a ordinare il materiale sottratto secondo il possibile ritorno criminale.
Per rendere più preciso il profilo, VOLTA può utilizzare sessioni già compromesse. Attraverso un account Gmail rubato, per esempio, può cercare ricevute di acquisto su Amazon o PayPal e verificare l’indirizzo di casa associato alla vittima. Può inoltre consultare cronologie d’ordine su servizi come Uber Eats e DoorDash.
Informazioni apparentemente poco rilevanti, se combinate, aiutano a ricostruire identità, abitudini e disponibilità economica dell’utente. Il risultato è un dossier che non si limita a elencare le credenziali sottratte, ma prova a indicare come sfruttarle.
L’intelligenza artificiale decide quali vittime hanno più valore
Secondo la ricerca di Cisco Talos, firmata da Ryan Fetterman con il titolo Appraisal by AI: Model-driven victim prioritization in the VOLTA infostealer, i dati raccolti vengono organizzati in un file locale prima di essere inviati a un modello linguistico.
La comunicazione passa attraverso OpenRouter, una piattaforma che instrada le richieste verso modelli di diversi fornitori. Il malware include un’istruzione destinata al sistema di intelligenza artificiale: il modello deve comportarsi come un analista incaricato di stimare il valore del bersaglio e delle informazioni disponibili.
L’output richiesto comprende una classificazione dei potenziali guadagni, con livelli di valore bassi, medi o alti. Il sistema deve anche indicare quali elementi potrebbero essere sfruttati economicamente e descrivere le difese della persona, comprese le sue abitudini nella gestione delle password.
Il modello, quindi, non viene impiegato direttamente per penetrare un sistema o sviluppare un nuovo virus. La sua funzione è successiva al furto: analizzare il materiale raccolto, attribuire priorità alle vittime e rendere più efficiente la selezione degli obiettivi.
Nel caso analizzato da Cisco Talos, l’intelligenza artificiale viene usata per valutare ciò che è già stato rubato e stabilire quali accessi possano essere più redditizi.
VOLTA non è una campagna ransomware documentata
Il campione studiato da Cisco Talos è stato individuato per la prima volta l’11 ottobre 2026. L’analisi descrive il funzionamento del software, ma non documenta una campagna di infezioni su larga scala.
Non risultano indicati il numero delle vittime né organizzazioni italiane colpite. Anche l’associazione a episodi specifici di ransomware non emerge dalle informazioni disponibili: VOLTA è descritto come un malware focalizzato sul furto di dati, credenziali e sessioni, non come una minaccia che cifra i file per chiedere un riscatto.
La distinzione è rilevante perché il termine “malware” comprende famiglie molto diverse. Un infostealer come VOLTA punta alla raccolta di informazioni; un ransomware mira invece a bloccare l’accesso ai dati e a ottenere un pagamento. In entrambi i casi, la compromissione iniziale può esporre utenti e organizzazioni a conseguenze rilevanti, ma le tecniche e gli obiettivi operativi non coincidono.
Il nuovo ruolo dell’AI nelle operazioni degli hacker
L’elemento più significativo evidenziato dalla ricerca è l’uso dell’AI per la prioritizzazione delle vittime. In un modello tradizionale, gli operatori criminali devono esaminare manualmente password, cookie, token e documenti per capire quali accessi meritino attenzione. VOLTA tenta di automatizzare anche questa fase.
Un dossier generato dal modello può mettere in relazione dati finanziari, account personali, abitudini di acquisto e credenziali tecniche. L’obiettivo è fornire agli hacker una lettura ordinata del materiale, così da concentrare il tempo sulle vittime considerate più profittevoli.
La ricerca non dimostra però l’esistenza di un’operazione criminale estesa basata su VOLTA-AUTODOXER. Il dato accertato riguarda il campione analizzato e le funzioni osservate da Cisco Talos: raccolta di informazioni su Windows, arricchimento del profilo tramite sessioni sottratte e invio dei dati a un modello linguistico per la loro valutazione.
Passa anche tu a Sky Wifi e non ci pensi più.
Aggiungi MRW alle tue fonti preferite su Google!
