Selon des recherches de Cisco Talos, un voleur d’informations Windows appelé VOLTA-AUTODOXER utilise l’intelligence artificielle pour évaluer la valeur potentielle de ses victimes. Après avoir dérobé des données sur un ordinateur infecté, le malware crée un dossier structuré et l’envoie par défaut à Claude, le modèle d’Anthropic, en demandant à celui-ci d’identifier et de classer les actifs selon leur potentiel de monétisation.

VOLTA peut collecter les mots de passe des navigateurs, les cookies, les données de cartes de paiement, les profils Thunderbird et Outlook, les comptes Roblox, les jetons OAuth de Microsoft, des captures d’écran, des fichiers SSH et des configurations de fournisseurs cloud. Il extrait également les mots de passe Wi-Fi enregistrés en clair et tente de déchiffrer les coffres de portefeuilles de cryptomonnaies au lieu de simplement les copier.

Le malware enrichit les informations volées en effectuant des recherches actives dans les comptes compromis. Il peut parcourir Gmail à la recherche de reçus provenant notamment d’Amazon, de DoorDash, d’Uber Eats, de Grubhub, de Walmart et de PayPal afin de contribuer à confirmer une adresse personnelle. Il récupère également l’historique des livraisons, utilise des jetons Discord volés pour étoffer le profil d’une victime et vérifie la valeur des objets Roblox grâce à Rolimons.

VOLTA enregistre d’abord localement les informations collectées dans Identity_Report.txt et au format JSON. Il envoie ensuite le dossier à OpenRouter, un service de routage de modèles, avec des instructions demandant à l’IA d’agir comme un analyste du renseignement judiciaire et de produire une évaluation concise de la cible, étayée par des éléments probants. La réponse est enregistrée sous le nom AI_Analysis.txt, puis les deux fichiers sont regroupés dans volta_dox.zip en vue de leur exfiltration.

Claude Opus 4.6 est configuré comme modèle par défaut, avec un réglage de température bas destiné à produire des résultats prévisibles. Si la réponse semble contenir un langage de refus ou s’avère trop limitée, le malware peut essayer Kimi K2 de Moonshot AI et Gemini 2.5 Flash de Google. Il peut également sauter entièrement l’étape d’IA lorsqu’aucune clé API OpenRouter n’est fournie et envoyer à la place le dossier collecté par Telegram.

Talos décrit VOLTA comme un produit probablement destiné à la revente. Son générateur comprend des paramètres remplaçables pour des éléments tels que les canaux Telegram et les identifiants API, ce qui permet de créer des binaires personnalisés pour les clients. Bien que ces identifiants soient chiffrés dans le binaire, les chercheurs affirment qu’ils peuvent être récupérés. Cette conception permet à un client de recevoir des évaluations classées des victimes sans dépendre d’une infrastructure directement contrôlée par l’attaquant.

Une grande partie des tentatives de VOLTA visant à voler les données de Chrome cherche à contourner l’App-Bound Encryption en lançant Chrome en mode headless. Talos indique qu’une politique de contrôle des applications limitant les processus pouvant lancer Chrome en mode headless peut bloquer cette voie de déchiffrement particulière. Une telle mesure n’empêche pas le malware d’effectuer ses autres activités de collecte, d’analyse ou d’exfiltration.

L’exécutable principal peut s’effacer après l’infection, mais un fichier nommé volta_debug.txt devrait subsister. Le journal peut indiquer quelles informations ont été collectées et si la requête adressée au modèle a abouti. Talos conseille aux utilisateurs concernés de révoquer ou de renouveler les clés API et les jetons exposés, ainsi que de modifier leurs mots de passe. Si la phrase de récupération d’un portefeuille de cryptomonnaies a été stockée en clair, ses fonds doivent être transférés vers un nouveau portefeuille doté d’une phrase de récupération nouvellement générée.

Sources: Tom's Hardware.