Un infostealer qui évalue la rentabilité de ses cibles grâce à l’IA

VOLTA-AUTODOXER, un malware Windows autodestructeur, va au-delà du simple vol de données en intégrant une couche d’analyse basée sur des modèles de langage (LLM). Selon Cisco Talos, ce logiciel malveillant envoie les informations volées (mots de passe, cookies, cartes bancaires, graines de portefeuilles cryptographiques, tokens de session) à un LLM pour qu’il les classe par valeur monétisable. Le système utilise par défaut Anthropic’s Claude Opus 4.6, avec des bascules automatiques vers Moonshot AI’s Kimi K2 ou Google’s Gemini 2.5 Flash en cas de refus de traitement, comme l’explique Ryan Fetterman, chercheur chez Talos.

L’originalité réside dans la prompt engineering du malware : le système demande au LLM d’agir comme un analyste forensique pour produire un rapport structuré, incluant des sections comme « WHAT THEY’RE WORTH » (leur valeur) et « THEIR OPSEC » (leur posture de sécurité). VOLTA extrait aussi des données contextuelles via les sessions volées, comme les historiques UberEats ou DoorDash pour déduire la localisation ou les habitudes des victimes, ou encore les métadonnées des documents locaux et sauvegardes iPhone, selon l’analyse de Talos.

VOLTA-AUTODOXER ne se contente pas de voler des données : il les évalue comme un analyste financier évaluerait un portefeuille d’investissements, avant de décider quelles cibles exploiter en priorité.

Une architecture conçue pour contourner les garde-fous des modèles IA

VOLTA-AUTODOXER n’est pas un simple outil brut : ses créateurs ont anticipé les mécanismes de sécurité des LLM, comme les refus de réponse (« I can’t »), en intégrant une chaîne de modèles de secours. Le malware vérifie systématiquement les réponses et bascule vers un modèle plus permissif si nécessaire, révèle Wired. Cette approche, combinée à un paramètre de température fixe (0,2) pour des réponses déterministes, montre une maturité technique rare chez les malwares grand public.

De plus, le code inclut six slots configurables lors de la compilation, suggérant que VOLTA pourrait être un produit commercialisable, où les acheteurs personnaliseraient les clés API et les paramètres d’analyse. Cisco Talos souligne que le malware ne repose sur aucune infrastructure contrôlée par les attaquants, ce qui complique son attribution et sa traçabilité.

Ce que cela change ici : des risques accrus pour les organisations africaines utilisant cloud et crypto

Pour les entreprises et administrations d’Afrique de l’Ouest, VOLTA-AUTODOXER représente une menace croissante, notamment pour celles utilisant des services cloud (comme Gmail, Slack) ou des portefeuilles cryptographiques. Son analyse automatisée des données volées pourrait cibler en priorité les comptes à forte valeur monétaire ou stratégique, comme ceux des dirigeants d’entreprises ou des employés des institutions publiques gérant des budgets sensibles.

L’intégration de l’IA dans le processus de vol permet aux cybercriminels de prioriser leurs actions en fonction de la rentabilité perçue, augmentant ainsi l’efficacité des attaques. Par exemple, un vol de session sur une plateforme comme MTN Mobile Money ou Wave (utilisées largement au Bénin et en Afrique de l’Ouest) pourrait être immédiatement évalué pour son potentiel de fraude ou de revente de données. Les organisations devraient donc renforcer leurs mesures de détection des anomalies (comme les connexions multiples depuis des localisations inhabituelles) et limiter l’accès aux données sensibles via des solutions de segmentation.

Enfin, l’absence d’infrastructure propre aux attaquants rend difficile l’identification des responsables, ce qui pourrait encourager une prolifération de variantes locales adaptées aux écosystèmes africains, comme l’a observé CrowdStrike pour d’autres groupes utilisant l’IA.

Un prototype fonctionnel, mais un signe des évolutions à venir

Bien que Cisco Talos n’ait pas encore observé VOLTA-AUTODOXER en action dans des campagnes massives, son existence confirme une tendance : l’intégration croissante de l’IA dans les outils de cybercriminalité. Selon Startup Fortune, le malware semble être un prototype fonctionnel, mais sa structure modulaire et son approche systématique en font un modèle pour les futures générations d’infostealers. Les chercheurs soulignent que des groupes comme ceux ciblant les gouvernements ou les entreprises (mentionnés par CrowdStrike) pourraient rapidement adopter de telles techniques.

Pour les acteurs africains, cela souligne l’importance de surveiller les évolutions des menaces au-delà des outils traditionnels. Les infostealers comme VOLTA-AUTODOXER pourraient, à terme, automatiser la prise de décision sur quelles victimes attaquer ensuite, réduisant le besoin d’expertise humaine et accélérant les cycles de monetisation.