Nuovo infostealer Volta-Autodoxer usa l'IA per scegliere le vittime

Volta-Autodoxer integra modelli linguistici commerciali per profilare automaticamente le vittime e far emergere subito i bersagli più redditizi. Il nome arriva da stringhe interne del malware. La scoperta è di Cisco Talos, condivisa in esclusiva con Kernel Panic, la newsletter di Wired curata da Lily Hay Newman e Matt Burgess¹.

I ricercatori descrivono una nuova ondata di infostealer con funzioni di IA incorporate. La novità non sta nella raccolta dei dati, ma nel triage automatizzato: il sistema valuta ciò che ruba e ordina gli elementi a maggiore valore operativo. L’uso di LLM commerciali estende capacità già note, accorcia i tempi tra infezione e sfruttamento dell’accesso, e alleggerisce passaggi che prima richiedevano lavoro manuale¹.

Gli infostealer si nascondono spesso in software contraffatto. Una volta in esecuzione, prendono username, password, token di autenticazione, cookie, dati di carte di credito e altro ancora dalle macchine infette. Il bottino serve per accedere ad account e servizi, muoversi all’interno di reti, o alimentare il mercato delle credenziali¹.

Volta-Autodoxer aggiunge un passaggio di analisi ai flussi tipici di esfiltrazione. Subito dopo la raccolta, il malware convoglia i dati in un modello linguistico. L’LLM scandaglia i record, li classifica e porta in cima i profili e le informazioni che promettono un ritorno più rapido: credenziali con privilegi, token validi, impronte utili a superare controlli successivi. L’automazione riduce il tempo che intercorre tra il furto e la scelta dei target prioritari¹.

La cronaca recente mostra quali effetti producono credenziali rubate e poi riutilizzate. Wired cita gli attacchi collegati all’ecosistema Snowflake che hanno toccato AT&T e Ticketmaster, oltre al furto di un terabyte di dati di Disney. In questi casi gli intrusi sono partiti da login funzionanti raccolti in precedenza, poi usati per ottenere accesso e muoversi verso asset più sensibili¹.

Il quadro che emerge dal lavoro di Cisco Talos è lineare: gli attori delle minacce innestano l’IA dentro strumenti consolidati invece di costruire da zero nuovi ceppi. L’LLM non infetta, ma accelera decisioni e priorità. Questo rende più efficiente ogni fase a valle, dalla monetizzazione alla persistenza su altri sistemi¹.

Kernel Panic ha pubblicato la ricerca in anteprima. La segnalazione illumina una traiettoria precisa: l’inserimento di servizi di IA disponibili sul mercato nelle catene operative del cybercrimine. Se finora la forza degli infostealer era la quantità, con Volta-Autodoxer conta anche la selezione. Per la difesa, l’implicazione è concreta: occorrono controlli che limitino l’abuso di credenziali valide, perché la fase di triage dall’altra parte diventa sempre più veloce¹.