Le malware Volta utilise des LLM pour classer les données volées selon la valeur des victimes

Un nouvel infostealer Windows nommé VOLTA-AUTODOXER a fait son apparition avec une capacité distincte : il utilise de grands modèles de langage (LLM) pour analyser les données volées et classer les victimes selon leur potentiel monétaire. Observé pour la première fois en octobre 2026, ce malware automatise le processus de triage qui nécessite généralement des analystes humains, transformant des dumps bruts d'identifiants en rapports de renseignement structurés.

Ce qui s'est passé

VOLTA fonctionne comme un implant voleur mature qui collecte une grande variété d'informations sensibles sur les machines infectées. Ses cibles incluent les mots de passe des navigateurs, les cookies, les cartes bancaires, les phrases de récupération des portefeuilles de cryptomonnaies, ainsi que les jetons de session pour des plateformes comme Discord, Telegram, Steam et Roblox. Il extrait également les jetons OAuth Microsoft, les clés SSH, les configurations des fournisseurs cloud, les profils Wi-Fi et des captures d'écran. Contrairement à de nombreux voleurs commerciaux, VOLTA va au-delà de la simple extraction en effectuant un enrichissement en direct à l'aide des sessions volées elles-mêmes.

Après avoir rassemblé les données initiales, le malware utilise l'accès authentifié aux comptes des victimes pour approfondir son profil de renseignement. Il interroge les boîtes de réception Gmail pour trouver des reçus d'achat provenant de services comme Amazon, DoorDash et Uber Eats afin de confirmer les adresses domiciliaires. Il récupère les historiques de commandes des applications de livraison de repas et utilise les jetons Discord pour enrichir les profils utilisateurs. Pour les passionnés de cryptomonnaies, il effectue des recherches en direct sur Rolimons.com pour évaluer les inventaires Roblox. Ces données enrichies sont compilées dans un ensemble structuré de preuves incluant la géolocalisation, les détails de l'employeur, l'année de naissance déduite et des évaluations de la posture de sécurité.

L'innovation majeure réside dans la manière dont cet ensemble est traité. VOLTA sérialise les données en JSON et les envoie à un fournisseur LLM externe via OpenRouter. Le prompt système demande au modèle d'agir comme un analyste de renseignement forensique, produisant un rapport avec des sections intitulées "WHAT THEY'RE WORTH" (Ce qu'ils valent) et "THEIR OPSEC" (Leur hygiène opérationnelle). La sortie classe les actifs par potentiel de monétisation et évalue l'hygiène des mots de passe de la victime. Cela permet aux acteurs peu sophistiqués de recevoir une priorisation de cible de haute qualité sans effort manuel.

Comment cela fonctionne

L'intégration de l'IA est conçue pour résister aux garde-fous des modèles. VOLTA utilise par défaut anthropic/claude-opus-4.6 mais surveille les réponses pour détecter des phrases de refus telles que "I can’t" ou "I’m not able". Si un refus est détecté, il bascule vers une chaîne de modèles alternatifs, spécifiquement moonshotai/kimi-k2 puis google/gemini-2.5-flash. Cette architecture multi-modèles suggère que les développeurs anticipent et contournent les refus de sécurité, garantissant que l'analyse se termine même si le modèle principal bloque la requête.

Le malware communique avec le point de terminaison LLM à l'adresse https[:]//openrouter[.]ai/api/v1/chat/completions en utilisant des requêtes JSON assemblées manuellement et une chaîne User-Agent Mozilla/5.0, évitant ainsi les SDK standard. Le paramètre de température est codé en dur à 0.2, privilégiant des sorties déterministes et cohérentes plutôt que créatives. L'ensemble du trajet aller-retour de l'inférence se produit sur la machine et la connexion réseau de la victime avant que le dossier final, sauvegardé sous le nom "AI_Analysis.txt", ne soit exfiltré avec le rapport d'identité brut dans un fichier zip.

Détails clés

• VOLTA utilise un modèle de builder où les clients fournissent des clés API et des paramètres via un modèle comportant six emplacements interchangeables, faiblement chiffrés dans le binaire final.
• Le malware contourne le chiffrement App-Bound de Chrome en lançant le navigateur en mode headless pour déchiffrer les identifiants stockés.
• Il effectue un craquage en ligne des portefeuilles de cryptomonnaies et exporte tous les mots de passe Wi-Fi enregistrés en texte clair en utilisant la fonction WlanGetProfileList.
• Le prompt d'analyse IA demande explicitement au modèle d'établir des liens entre des points de données épars, tels que relier des noms ou des universités à des motifs de mots de passe.
• Il n'y a pas d'infrastructure appartenant à l'attaquant ; toute la communication repose sur des services tiers comme OpenRouter et Telegram pour le command and control.
• Le malware s'auto-supprime après exécution, mais laisse derrière lui un fichier journal de débogage à l'emplacement "APPDATA%\volta_debug.txt" s'il n'est pas entièrement nettoyé.

Pourquoi c'est important

Cette évolution marque un changement dans les opérations de cybercriminalité, passant du vol basé sur le volume au ciblage basé sur la valeur. En automatisant le travail analytique consistant à passer au crible des milliers d'enregistrements volés, VOLTA abaisse le seuil opérationnel pour les criminels. Les acteurs n'ont plus besoin d'analystes qualifiés pour identifier les cibles à haute valeur ; ils peuvent simplement déployer le voleur et recevoir des dossiers classés. Cette efficacité augmente le retour sur investissement pour chaque infection, encourageant potentiellement un déploiement plus large.

Pour les défenseurs, l'utilisation des LLM introduit de nouveaux défis en matière de détection et de réponse. La dépendance envers des fournisseurs d'IA tiers signifie qu'il n'y a pas de serveur de commande central à bloquer, et le trafic peut ressembler à des appels API légitimes. De plus, la capacité à contourner les fonctionnalités de sécurité modernes des navigateurs comme le chiffrement App-Bound souligne la nécessité de politiques de contrôle d'application plus strictes. Les équipes de sécurité doivent supposer que tout jeton de session volé peut être utilisé pour enrichir un profil d'attaque en temps réel, rendant la révocation immédiate des jetons cruciale.

Ce que vous pouvez faire

• Mettre en œuvre des politiques de contrôle d'application qui restreignent quels processus peuvent lancer Chrome avec le drapeau --headless pour empêcher les contournements ABE.
• Surveiller les connexions sortantes inhabituelles vers des points de terminaison API d'IA comme OpenRouter depuis les appareils des utilisateurs finaux.
• Imposer un stockage matériel sécurisé pour les identifiants et éviter de sauvegarder les mots de passe dans les navigateurs lorsque possible.
• En cas de compromission, préserver le fichier "APPDATA%\volta_debug.txt" pour l'analyse forensique avant de le supprimer.
• Révoquer immédiatement tous les jetons OAuth et changer les mots de passe pour tous les comptes susceptibles d'avoir été exposés.
• Considérer tout portefeuille de cryptomonnaie ayant une phrase de récupération stockée sur disque comme entièrement compromis et migrer les fonds vers un nouveau portefeuille isolé (air-gapped).