Une nouvelle souche de malware Windows identifiée combine le vol de données à grande échelle et l’intelligence artificielle afin de dresser le profil des victimes et de les classer selon leur valeur potentielle pour les cybercriminels. Des chercheurs de Cisco Talos ont découvert cette menace grâce à CAIRN, un kit de recherche open source conçu pour identifier et suivre les malwares utilisant l’IA.
Baptisé VOLTA-AUTODOXER, le malware suit quatre grandes étapes : collecter des informations sur un appareil infecté, envoyer les données volées pour une analyse par IA, transférer les données vers une infrastructure contrôlée par les attaquants, puis se supprimer du système.
À première vue, VOLTA ressemble à un infostealer classique. Il peut collecter les mots de passe des navigateurs, les cookies, les données de cartes de paiement, les phrases de récupération de portefeuilles de cryptomonnaies, les sessions Discord, Telegram, Steam et Roblox, les jetons OAuth de Microsoft, les clés SSH et celles de fournisseurs cloud, les profils Wi-Fi ainsi que des captures d’écran.
Sa caractéristique distinctive est la création d’un dossier structuré sur la victime. Le malware recueille des informations telles que la localisation géographique, l’adresse du domicile, l’employeur et le domaine de l’employeur, une année de naissance déduite, les quatre derniers chiffres des cartes de crédit, les espaces de travail Slack, les métadonnées des auteurs de documents, des indicateurs de sauvegarde d’iPhone et une estimation de la valeur du compte Roblox. Il recherche également dans Gmail des messages UberEats et DoorDash, apparemment pour aider à confirmer une adresse personnelle.
Les informations collectées sont sérialisées et envoyées via OpenRouter, une plateforme d’infrastructure d’IA qui permet d’accéder à plusieurs modèles de langage au moyen d’une seule API. Le malware demande au modèle sélectionné d’agir comme un analyste du renseignement spécialisé en criminalistique et de préparer une évaluation de la cible. L’analyse produite vise à déterminer si la victime mérite d’être ciblée et quelle pourrait être la valeur des informations volées.
Claude est répertorié comme modèle par défaut, tandis que Kimi K2 de Moonshot AI et Gemini 2.5 Flash de Google sont mentionnés comme alternatives si le premier modèle refuse de traiter la demande. Si les services d’IA ne fonctionnent pas, VOLTA peut envoyer les données brutes aux attaquants, généralement par l’intermédiaire d’un canal Telegram.
Cisco Talos a déclaré que les évaluations collectées pourraient aider les attaquants à établir des priorités entre les victimes en vue d’activités ultérieures, notamment des opérations de rançongiciel. Les chercheurs n’ont pas indiqué où le malware avait été découvert, combien de systèmes il avait infectés ni comment il était distribué.
Après avoir terminé son activité, VOLTA tente de se supprimer. Toutefois, un fichier nommé volta_debug.txt peut rester sur le système et enregistrer les informations collectées ainsi que la réussite ou l’échec de l’évaluation par IA.
Les chercheurs estiment que le malware pourrait être destiné à la vente sur le marché noir. Les informations Telegram et les clés API ne sont pas intégrées en dur, et le malware comprendrait six emplacements configurables pouvant être remplis lors de la création d’une compilation. Cisco Talos a déclaré que cette structure correspond à un modèle de générateur dans lequel un vendeur fournit le framework du malware et où les clients fournissent leurs propres paramètres afin de créer des binaires personnalisés.
Pour les utilisateurs qui soupçonnent une infection, les chercheurs recommandent de révoquer ou de renouveler les clés API et les jetons, de modifier les mots de passe et de vérifier les portefeuilles de cryptomonnaies. Ils conseillent également de transférer les fonds restants vers un nouveau portefeuille protégé par une phrase de récupération nouvellement générée.
Sources: TechRadar.