Un nouveau malware utilise l'IA pour profiler ses victimes

Résumé

Volta-Autodoxer collecte identifiants, jetons, cartes et sessions, puis utilise des modèles d’IA pour établir automatiquement le profil de ses victimes.

Les faits

Des chercheurs de Cisco Talos ont identifié une nouvelle souche de logiciel voleur de données baptisée « Volta-Autodoxer », un nom tiré de la manière dont le programme se désigne en interne. Le malware intègre des fonctions d’intelligence artificielle capables de dresser automatiquement le profil des victimes et de repérer rapidement les cibles et les informations jugées les plus précieuses. Volta récupère notamment les mots de passe enregistrés dans les navigateurs, les jetons OAuth de Microsoft, les cookies, les cartes de paiement, les phrases secrètes de portefeuilles de cryptomonnaies ainsi que les sessions actives de Discord, Telegram, Steam et Roblox. Il effectue ensuite une seconde analyse plus approfondie à partir de ces premiers éléments, en consultant notamment Gmail ou un autre compte central pour reconstituer la localisation et les habitudes de la victime à partir de reçus et d’historiques de commandes, notamment sur UberEats et DoorDash. Le logiciel transmet ces informations à des outils d’IA par l’intermédiaire d’OpenRouter, un service capable d’envoyer des requêtes à plusieurs fournisseurs. Volta utilise par défaut Claude Opus 4.6 d’Anthropic, avec des solutions de repli vers Kimi K2 de Moonshot AI, puis Gemini 2.5 Flash de Google. Son instruction de 240 mots demande au modèle de produire une évaluation structurée de la cible, comprenant un résumé, ses activités, ce qu’elle vaut et une synthèse de son « opsec ». Ryan Fetterman, chercheur en sécurité chez Cisco Talos, décrit Volta comme un voleur de données « plutôt mature » qui « ratisse très large » dans les informations collectées. Talos a détecté le malware avec son cadre CAIRN, conçu pour repérer les outils de piratage intégrant des fonctions d’IA. Les chercheurs n’ont pas suivi l’utilisation de Volta sur le terrain, et le logiciel reste opérationnel même sans ses fonctions d’IA.

Pourquoi c’est important

L’intérêt de Volta-Autodoxer ne réside pas seulement dans le volume de données volées, mais dans leur transformation automatisée en dossier exploitable. En demandant à un modèle de relier les éléments collectés et de hiérarchiser les cibles, le malware réduit le travail de tri nécessaire après une infection. Cette automatisation peut accélérer l’exploitation de mots de passe, de jetons d’authentification et d’autres informations sensibles. Selon Ryan Fetterman, identifier plus rapidement les cibles de valeur peut augmenter les chances d’utiliser leurs identifiants ou leurs jetons avant leur expiration ou avant la modification des mots de passe. Le recours à plusieurs modèles et la possibilité de fonctionner sans IA rendent l’architecture plus résistante aux refus des services utilisés.

Questions fréquentes

Qu’est-ce que Volta-Autodoxer ?

Volta-Autodoxer est une souche de logiciel voleur de données qui collecte des informations sur ses victimes et utilise des modèles d’IA pour les analyser.

Quelles données Volta collecte-t-il ?

Il peut récupérer des mots de passe, des jetons OAuth, des cookies, des cartes de paiement, des phrases secrètes de portefeuilles et des sessions de services en ligne.

Quels modèles Volta utilise-t-il ?

Volta utilise par défaut Claude Opus 4.6, avec Kimi K2 puis Gemini 2.5 Flash comme solutions de repli.

L’IA est-elle indispensable au fonctionnement du malware ?

Non. Le logiciel peut continuer à fonctionner sans ses appels aux modèles d’IA.

Source

Auteur

Rédaction spécialisée dans la veille et l'analyse de l'actualité de l'intelligence artificielle, des puces IA, des robots, des agents IA et de la recherche.