Cisco Talos a récemment découvert Volta-Autodoxer, un logiciel malveillant Windows capable de voler une grande quantité de données personnelles, puis de demander à plusieurs modèles d’intelligence artificielle d’évaluer la valeur de sa victime. L’analyse IA reste facultative, mais elle permet aux attaquants de prioriser rapidement les profils les plus intéressants.
Le rôle de l’intelligence artificielle dans les cyberattaques ne se limite plus à écrire du code ou à préparer des messages de phishing. Avec Volta-Autodoxer, elle intervient après le vol pour transformer des données dispersées en un véritable dossier de renseignement.
Le logiciel ne se contente pas de récupérer des mots de passe. Il cherche à déterminer qui se cache derrière l’ordinateur infecté, où cette personne habite et quels biens pourraient justifier une attaque plus poussée.
Un voleur de données particulièrement intrusif
Volta-Autodoxer possède d’abord les fonctions classiques d’un infostealer, ces logiciels conçus pour aspirer les informations sensibles d’un ordinateur.
Il récupère notamment les mots de passe des navigateurs, les cookies, les données de cartes enregistrées, les profils Outlook et Thunderbird ainsi que les jetons OAuth de Microsoft. Il recherche aussi les fichiers de configuration SSH, les accès aux services cloud et les mots de passe Wi-Fi stockés sur la machine.
Le malware cible également les utilisateurs de Discord, Telegram, Steam et Roblox. Les portefeuilles de cryptomonnaies font l’objet d’une attention particulière : lorsqu’ils sont détectés, Volta peut tenter de les compromettre immédiatement.
Cette première collecte sert ensuite à créer un rapport d’identité structuré. Celui-ci peut contenir l’adresse probable de la victime, sa géolocalisation, son employeur, son année de naissance estimée, les métadonnées de ses documents et les derniers chiffres de ses cartes bancaires.
Gmail et les applications de livraison enrichissent le profil
La particularité de Volta réside dans sa capacité à réutiliser les sessions dérobées. Le malware ne se contente pas des fichiers déjà présents sur l’ordinateur.
Il peut fouiller un compte Gmail à la recherche de reçus Amazon, Walmart, PayPal, Uber Eats, DoorDash ou Grubhub. Ces informations permettent de confirmer une adresse, d’identifier des habitudes de consommation et de mieux estimer le niveau de vie.
Volta peut également consulter l’historique de commandes des applications de livraison. Les jetons Discord ou Roblox sont utilisés pour compléter le portrait numérique de la victime.
Cette phase transforme des données apparemment banales en informations exploitables. Une commande de repas, un reçu ou un ancien message peut aider à relier une identité, un domicile et une capacité financière.
Claude analyse les victimes, avec deux modèles de secours
Une fois le dossier assemblé, Volta l’enregistre localement dans Identity_Report.txt, puis le convertit en JSON. Les données peuvent ensuite être envoyées à OpenRouter, un service qui permet d’appeler plusieurs modèles d’IA.
Le modèle utilisé par défaut est Claude Opus 4.6 d’Anthropic. L’invite lui demande d’agir comme un analyste de renseignement judiciaire et de produire une évaluation précise de la cible.
L’IA doit notamment classer les biens selon leur valeur marchande, évaluer la sécurité opérationnelle de la personne et citer les éléments ayant conduit à ses conclusions.
Les créateurs de Volta anticipent toutefois les refus. Le malware recherche certaines formulations de blocage, puis bascule vers Kimi K2 de Moonshot AI et enfin Gemini 2.5 Flash de Google.
L’attaque ne dépend pourtant pas de cette étape. Si aucune clé API n’est disponible, le dossier volé peut tout de même être envoyé par Telegram sans analyse automatique.
New malware steals your passwords, then asks AI what you’re worth. Cisco researchers say it searches your email for receipts to find your address, then ranks what’s most valuable. They didn’t track if it’s been used in attacks. Only install software from official sources. https://t.co/Vk83hWdYte
— arcX (@arcXonline) November 2, 2026
Mais l’IA sert surtout à trier plus vite les victimes
Selon Cisco Talos, Volta semble avoir été conçu comme un produit personnalisable destiné à la revente. L’acheteur peut intégrer ses propres clés API, son canal Telegram et ses paramètres avant la compilation du fichier malveillant.
Talos précise ne pas avoir confirmé que Volta avait déjà été utilisé dans une campagne réelle. Sa conception montre néanmoins comment l’IA peut rendre des capacités d’analyse avancées accessibles à des attaquants moins expérimentés.
Le malware peut s’autodétruire après l’infection, mais laisser un fichier de journalisation nommé volta_debug.txt. Une personne touchée doit révoquer ses jetons et clés API, modifier ses mots de passe et déplacer les cryptomonnaies dont la phrase de récupération aurait été exposée.
L’innovation de Volta n’est donc pas le vol lui-même. Elle réside dans la capacité à transformer automatiquement ce vol en décision : quelle victime mérite une attaque supplémentaire, et laquelle peut être abandonnée.
- Partager l'article :
Restez à la pointe de l'information avec
INTELLIGENCE-ARTIFICIELLE.COM !
