Software malicioso utiliza modelos de linguagem para classificar valor de vítimas
3 de novembro de 2026 · 2 min de leitura
Pesquisadores identificaram o VOLTA, um software malicioso de roubo de dados para Windows que utiliza um módulo de integração com inteligência artificial para avaliar o potencial financeiro de suas vítimas.
O programa coleta um conjunto amplo de dados, incluindo senhas de navegadores, arquivos de cookies, cartões de pagamento, frases semente de carteiras de criptomoedas e dados de sessão de plataformas como Discord, Telegram, Steam e Roblox. Além disso, o software extrai tokens de Microsoft OAuth, chaves de serviços de nuvem e SSH, perfis de Wi-Fi e capturas de tela.
Para enriquecer o perfil da vítima, o software utiliza tokens de sessão roubados para buscar recibos de compras no Gmail, histórico de pedidos em serviços como UberEats e DoorDash, e informações adicionais em contas do Discord. O pacote de dados estruturado inclui a geolocalização, endereço residencial, local de trabalho, ano de nascimento presumido, os quatro últimos dígitos de cartões, espaços de trabalho no Slack e o valor estimado de contas no Roblox.
Essas informações são enviadas via requisição POST para a plataforma OpenRouter. Um comando de sistema instrui o modelo de linguagem a atuar como um analista de coleta e avaliação de dados. O resultado esperado é um relatório dividido em seções, sendo uma delas a de valor, que classifica os ativos em níveis de monetização baixo, médio ou alto, e outra de segurança, que avalia a proteção e a qualidade das senhas da vítima.
O software utiliza um valor de temperatura fixo de 0,2 para garantir precisão e consistência nos textos gerados. Para contornar mecanismos de proteção dos modelos, o programa implementa uma cadeia de redundância: se um modelo se recusar a realizar a avaliação, o sistema alterna automaticamente para outros três modelos diferentes.
O VOLTA possui a função de se autoexcluir e não utiliza infraestrutura pertencente aos atacantes. A ferramenta também inclui um recurso interno para invadir cofres de carteiras de criptomoedas, registrando os resultados em uma seção específica do relatório.