Le 31 octobre 2026, Cisco Talos a publié l’analyse d’un échantillon d’infostealer Windows, un logiciel voleur de données, nommé VOLTA-AUTODOXER. L’échantillon collecte et enrichit des informations avant de pouvoir les faire évaluer par des modèles de langage hébergés. Cette étape par IA est facultative et intervient après la collecte, pas pendant le vol initial. Cisco Talos détaille son fonctionnement et les mesures de défense associées.
Dans un entretien rapporté par WIRED, Ryan Fetterman, chercheur chez Cisco Talos, a indiqué que l’équipe n’avait pas suivi si VOLTA avait été utilisé dans des attaques réelles.
L’IA intervient après la collecte
Talos décrit un échantillon qui recueille notamment des identifiants de navigateur, des cookies, des données de cartes de paiement, des sessions de compte et des jetons d’accès. Il peut aussi exploiter des sessions volées pour enrichir ces données, par exemple en recherchant des reçus dans Gmail ou l’historique de commandes sur Uber Eats et DoorDash. Cette liste décrit les capacités de l’échantillon, pas une collecte identique à chaque infection.
Les informations sont rassemblées dans un dossier sur la personne visée. Le modèle doit évaluer les biens susceptibles d’être monétisés et la sécurité opérationnelle de la cible, souvent désignée par l’acronyme anglais OPSEC. Selon Talos, VOLTA transmet ce dossier à des modèles hébergés via OpenRouter. L’analyse décrit cette chaîne distante, pas un LLM exécuté localement dans le logiciel malveillant.
La configuration analysée utilisait Claude Opus 4.6 par défaut, puis Kimi K2 et Gemini 2.5 Flash comme solutions de repli. Le grand modèle de langage, ou LLM, n’est pas nécessaire au fonctionnement du logiciel : Talos indique que l’échantillon peut opérer sans cette étape d’analyse.
Les indices utiles aux défenseurs
Talos signale que les lancements de Chrome avec l’option --headless sont à surveiller pour repérer la voie de contournement d’App-Bound Encryption décrite dans cet échantillon. L’équipe identifie également %APPDATA%\volta_debug.txt comme un journal de collecte à préserver en cas de compromission suspectée.
Dans cette situation, Talos recommande aussi de révoquer les jetons potentiellement exposés et de changer les mots de passe. Si une phrase de récupération de portefeuille crypto était conservée en clair, Talos conseille de considérer le portefeuille comme compromis et de transférer les fonds vers un nouveau portefeuille dont la phrase a été générée sur un appareil isolé du réseau.
