VOLTA : un logiciel voleur qui classe ses victimes grâce à l'IA

Des chercheurs ont décrit VOLTA-AUTODOXER, un logiciel voleur d'informations pour Windows repéré lors de l'étude CAIRN. Il ajoute une étape inhabituelle au vol de données : il confie le butin à un grand modèle de langage (LLM), chargé d'estimer ce que la victime peut rapporter.

Après avoir collecté les éléments habituels (mots de passe des navigateurs, cookies, cartes bancaires, phrases de récupération de portefeuilles de cryptomonnaies, sessions Discord, Telegram, Steam et Roblox, jetons OAuth de Microsoft, clés SSH et cloud, profils Wi-Fi), VOLTA constitue un profil structuré du propriétaire de l'appareil. On y trouve la localisation et l'adresse du domicile, l'employeur et le domaine de l'entreprise, l'année de naissance estimée, les quatre derniers chiffres d'une carte, les espaces de travail Slack et des indices de sauvegardes d'iPhone.

Un analyste IA sur la machine de la victime

Le programme enrichit ensuite ce profil grâce aux sessions volées. Il fouille la messagerie Gmail à la recherche de reçus d'Amazon, DoorDash, Uber Eats, Grubhub, Walmart ou PayPal pour confirmer l'adresse, récupère l'historique de commandes d'Uber Eats et DoorDash, et interroge Rolimons en temps réel pour valoriser un inventaire Roblox.

Le résultat, enregistré dans Identity_Report.txt, est converti en JSON puis envoyé par requête POST à OpenRouter. L'instruction système demande au modèle de se comporter en analyste évaluant une cible. La sortie comprend une section WHAT THEY'RE WORTH, qui classe les actifs selon leur potentiel de monétisation (faible, moyen, élevé), et THEIR OPSEC, qui juge le niveau de sécurité et la qualité des mots de passe. La température est fixée à 0,2, signe que l'opérateur privilégie la constance.

Si un modèle refuse la tâche, VOLTA bascule sur une chaîne de trois autres. Pour les chercheurs, cela révèle un travail d'ingénierie visant à contourner les garde-fous. La réponse est enregistrée dans AI_Analysis.txt, puis les deux fichiers sont archivés dans volta_dox.zip et transmis aux attaquants. L'appel à l'IA passe par la connexion réseau de la victime, avant tout envoi vers un serveur externe.

Un modèle « constructeur » et l'autosuppression

Le logiciel s'efface après exécution et n'utilise aucune infrastructure appartenant aux attaquants. Au lieu d'inscrire en dur l'adresse d'un canal Telegram ou des clés d'API, il s'appuie sur un modèle à six champs remplis lors de la compilation, ce qui suggère un système de constructeur : le client fournit ses paramètres et reçoit un exécutable unique. Ces identifiants sont chiffrés, mais la clé est un hachage SHA-256 de deux constantes présentes dans le fichier : la protection est surtout symbolique.

Le cas illustre le passage des LLM de la génération de texte au tri du butin : on ne leur demande pas de trouver des données, mais de relier des fragments épars, comme noms, adresses ou écoles, aux mots de passe des victimes et de hiérarchiser les cibles.