Tech · 1 novembre 2026 · 4 min di lettura
Dalle credenziali al dossier personale: scoperto il malware che usa l'IA per profilare le vittime
In sintesi: I ricercatori di sicurezza di Cisco Talos hanno scoperto Volta-Autodoxer, un nuovo ceppo di malware infostealer che integra modelli linguistici avanzati per trasformare i dati grezzi sottratti ai dispositivi infetti in dossier analitici strutturati. Interrogando API commerciali tramite fallback a cascata, il software malevolo automatizza la prioritizzazione dei bersagli più remunerativi per estorsioni o intrusioni mirate.
di Team Mocchi's
Nel panorama del crimine informatico, gli infostealer rappresentano da tempo uno degli strumenti più insidiosi e diffusi: programmi leggeri che si infiltrano nei sistemi operativi per sottrarre password salvate nei browser, cookie di sessione, token di autenticazione e chiavi di portafogli crittografici. Tuttavia, il vero limite operativo degli aggressori è sempre stato l'enorme mole di log non strutturati da setacciare manualmente. Una recente indagine documentata da WIRED rivela che questa barriera tecnica è caduta: una nuova minaccia, ribattezzata internamente dai suoi autori Volta-Autodoxer, ha integrato direttamente i modelli linguistici di frontiera per trasformare la refurtiva digitale in un rapporto d'intelligence completo sulla vittima.
La scoperta è avvenuta all'interno dei laboratori di Cisco Talos grazie al framework sperimentale CAIRN, progettato appositamente per rilevare strumenti offensivi che incorporano componenti di intelligenza artificiale.
Dalla raccolta dati al dossier di intelligence
Volta-Autodoxer opera secondo una strategia articolata in due fasi successive. Nella prima fase, il malware si comporta come un classico stealer maturo, estraendo credenziali di accesso, sessioni di navigazione, token Microsoft OAuth e credenziali di servizi di messaggistica e gaming. Una volta ottenuti gli accessi agli account principali della vittima — in particolare caselle di posta come Gmail — il codice avvia una seconda ricognizione più mirata.
In questa seconda scansione, il software setaccia le ricevute degli acquisti online, gli ordini su piattaforme come UberEats e le conferme di viaggio per ricostruire le abitudini quotidiane, la geolocalizzazione abituale e il tenore di vita dell'utente. A quel punto, invece di limitarsi a spedire pacchetti compressi di testo a un server di comando e controllo, Volta compila i dati in una struttura serializzata pensata esplicitamente per essere elaborata da un modello linguistico.
L'architettura a cascata: Claude, Kimi e Gemini come analisti
Il passaggio cruciale dell'attacco risiede nell'integrazione di servizi esterni di inferenza. Per non vincolarsi a un singolo fornitore e aggirare i controlli etici delle piattaforme, Volta sfrutta l'aggregatore OpenRouter per instradare le richieste. Secondo i dati resi noti dai ricercatori di Cisco Talos, il prompt malevolo ordina al modello di agire come un vero e proprio analista di intelligence: il sistema deve sintetizzare il profilo del bersaglio, evidenziare i privilegi aziendali o le risorse finanziarie accessibili e produrre un riassunto annotato con citazioni dirette dai file rubati.
La richiesta punta in via prioritaria a Claude Opus 4.6 di Anthropic. Consapevoli del rischio che i filtri di moderazione del modello blocchino l'operazione contrassegnandola come malevola, i creatori di Volta hanno programmato un meccanismo di fallback automatico. Se la chiamata a Claude fallisce, il sistema ritenta l'analisi tramite Kimi K2, modello open-weight sviluppato dalla cinese Moonshot AI; in caso di ulteriore interruzione, la richiesta viene deviata su Gemini 2.5 Flash di Google.
Il collo di bottiglia della criminalità informatica
Negli ultimi anni, campagne basate su infostealer hanno alimentato le peggiori violazioni aziendali a livello globale, compromettendo ambienti cloud aziendali attraverso token rubati ai singoli dipendenti. Fino a oggi, tuttavia, filtrare centinaia di gigabyte di dati sottratti a vittime casuali richiedeva tempo e risorse umane considerevoli.
L'introduzione dell'analisi semantica in tempo reale cambia la scala della minaccia. Delegando il triage cognitivo a un'architettura LLM, gli attaccanti possono identificare istantaneamente se un endpoint compromesso appartiene a uno sviluppatore con credenziali cloud strategiche, a un manager o a un utente privato, calcolando all'istante la strategia estorsiva più redditizia senza alcun intervento umano preventivo.
Il punto di Mocchi's
Questa evoluzione segna il passaggio definitivo dagli attacchi indiscriminati a una profilazione offensiva automatizzata su larga scala. Per le aziende italiane, l'idea che un'infezione malware su una postazione secondaria o su un dispositivo personale usato per lavoro generi solo spam o piccoli furti è ormai superata: gli aggressori dispongono ora di sintetizzatori capaci di estrarre in pochi secondi ruoli aziendali e segreti infrastrutturali dai messaggi archiviati. Riteniamo indispensabile abbandonare la fiducia nelle sessioni browser persistenti, accelerare l'adozione di passkey e credenziali FIDO2 non esportabili ed estendere il monitoraggio continuo degli accessi OAuth a tutte le applicazioni SaaS aziendali.