VOLTA-AUTODOXER : un infostealer Windows note ses victimes avec des modèles d'IA
Cisco Talos documente un malware éphémère qui classe les données volées et bascule vers d'autres modèles si Claude refuse de répondre.
Les chercheurs de Cisco Talos ont publié une analyse de VOLTA-AUTODOXER, un infostealer Windows qui s'auto-supprime après avoir exfiltré les données de sa victime. Particularité documentée par les chercheurs : le malware transmet son butin à un modèle d'IA afin d'obtenir une « évaluation de la cible » classée par valeur, selon Cisco Talos.
VOLTA envoie sa requête via le routeur de modèles OpenRouter, avec Claude Opus 4.6 d'Anthropic configuré comme modèle par défaut et une température de 0,2. Si le modèle refuse ou renvoie une réponse trop maigre, le code se rabat sur Kimi K2 de Moonshot AI, puis sur Gemini 2.5 Flash de Google.
Le malware compile localement un fichier Identity_Report.txt et un paquet JSON, enregistre toute réponse de l'IA dans AI_Analysis.txt, puis exfiltre l'ensemble dans une archive volta_dox.zip. Les données dérobées couvrent les mots de passe et cookies de navigateur, les cartes bancaires, les profils de messagerie, les jetons Discord et OAuth, les fichiers de configuration SSH et cloud, ainsi que les mots de passe Wi-Fi enregistrés en clair.
Reçus, objets Roblox et contournement de Chrome
VOLTA fouille aussi la boîte Gmail de la victime à la recherche de reçus Amazon, DoorDash, Uber Eats, Grubhub, Walmart et PayPal, et estime la valeur des objets Roblox via Rolimons. Le payload contient un gabarit à six emplacements modifiables — canal Telegram, clés d'API et réglages — renseignés au moment de la compilation, ce qui suggère une fabrication destinée à la revente.
Pour contourner le chiffrement App-Bound de Chrome, le malware lance le navigateur en mode headless, une manœuvre qu'une politique de contrôle applicatif bloquant le headless Chrome peut empêcher. Sans clé d'API OpenRouter, il peut toujours envoyer son dossier via Telegram, sans l'analyse par IA.
Cisco Talos recommande aux victimes de conserver le journal volta_debug.txt et de révoquer ou renouveler l'ensemble des clés d'API et des jetons.
En bref
Qu'est-ce que VOLTA-AUTODOXER ?
Un infostealer Windows auto-suppressif analysé par Cisco Talos, qui envoie les données volées à un modèle d'IA pour obtenir une évaluation classée des biens de la victime.
Quels modèles d'IA le malware utilise-t-il ?
Claude Opus 4.6 d'Anthropic par défaut, puis Kimi K2 de Moonshot AI et Gemini 2.5 Flash de Google en secours, via OpenRouter.
Que recommande Cisco Talos aux victimes ?
Conserver le journal volta_debug.txt et révoquer ou renouveler toutes les clés d'API et tous les jetons.