Un cheval de Troie Windows trie ses victimes avec une IA

Cisco Talos a publié le 31 octobre 2026 une analyse de VOLTA-AUTODOXER, un infostealer Windows qui vole des identifiants puis fait passer les données volées dans un modèle de langage pour classer les actifs monétisables d’une victime. Le chercheur Ryan Fetterman décrit un malware qui ne se contente plus d’exfiltrer des secrets : il prépare aussi un dossier d’exploitation, avec des éléments de valeur triés et justifiés. Dans ce contexte, l’IA sert moins à accélérer l’attaque qu’à transformer un simple vol en fiche de revente mieux ciblée.

Quand le malware joue les analystes

Talos présente VOLTA comme un stealer déjà bien rodé, auquel s’ajoute une couche d’intégration IA optionnelle. L’originalité tient à la fonction confiée au modèle : agir comme un analyste de renseignement au service de l’opérateur, et non comme un simple composant technique du malware. Le système produit un classement des biens monétisables de la victime, avec citations à l’appui, à partir d’un dossier brut d’identifiants, de sessions et de métadonnées.

Cette logique change la mécanique habituelle. Au lieu de seulement remplir des archives de données, l’attaque hiérarchise ce qui mérite une attention immédiate : cartes bancaires, jetons d’accès, comptes de messagerie, sessions de jeux ou encore profils professionnels. L’opérateur reçoit ainsi un résumé exploitable sans devoir lui-même faire le tri. C’est plus propre. Et nettement moins rassurant.

Ce que VOLTA aspire sur la machine compromise

Un passage de VOLTA récupère des identifiants de navigateurs, des cookies, des cartes de paiement enregistrées, mais aussi des données de Firefox, Thunderbird, Outlook, Slack, Steam, Battle.net, Discord, Telegram, Roblox et des jetons Microsoft OAuth. Le malware aspire également des fichiers de configuration SSH et cloud, des profils Wi-Fi, des captures d’écran et, selon Talos, tente de casser les portefeuilles crypto sur place pour noter le résultat dans une ligne dédiée. L’objectif est large : reconstituer l’identité numérique et l’accès opérationnel de la victime.

Le stealer ne s’arrête pas à la copie brute. Il réutilise les sessions volées pour enrichir le dossier : recherche de reçus dans Gmail afin de corroborer une adresse, consultation d’historique de commandes chez Uber Eats ou DoorDash, vérification d’inventaire Roblox, ou encore extraction d’indices sur les espaces Slack. Le tout est ensuite assemblé localement dans un paquet structuré, avec géolocalisation, domaine de l’employeur, année de naissance supposée, derniers chiffres de carte et indices sur les sauvegardes iPhone. Les fichiers générés portent les noms Identity_Report.txt et un export JSON.

OpenRouter, fallback et refus: la chaîne IA est pensée pour insister

Talos indique que le bundle est envoyé vers l’endpoint chat-completions d’OpenRouter avec un prompt système demandant au modèle d’agir comme « a forensic intelligence analyst drafting a target assessment ». La sortie attendue comprend notamment une section WHAT THEY’RE WORTH, qui classe les actifs par valeur de monétisation, et une section THEIR OPSEC, qui évalue l’hygiène de sécurité de la cible. Le prompt pousse aussi le modèle à relier des indices dispersés, comme un nom, une adresse ou une université, à des schémas possibles dans les mots de passe.

La configuration embarquée utilise par défaut anthropic/claude-opus-4.6, puis bascule vers moonshotai/kimi-k2 et enfin google/gemini-2.5-flash si nécessaire. La température est fixée à 0,2, ce que Talos interprète comme un choix en faveur de la cohérence plutôt que de la créativité. Le malware teste aussi les refus du modèle — par exemple la présence de formulations comme « I can’t » — avant de descendre d’un cran dans la chaîne. Si aucune clé API n’est disponible, la couche LLM peut même être désactivée.

Un outil de compilation vendu en kit

Talos estime que VOLTA n’est pas un binaire figé, mais un modèle compilé à partir d’un gabarit avec six emplacements remplacés au moment de la construction. Cette architecture renvoie à un mode de distribution en builder : un acteur vend l’accès, l’acheteur fournit ses paramètres, puis un exécutable personnalisé est généré pour chaque commande. Si cette hypothèse est exacte, la brique IA devient une fonctionnalité commerciale, accessible même à des opérateurs peu sophistiqués.

Les paramètres liés à Telegram, aux clés API et aux réglages sont chiffrés avec une clé dérivée de deux constantes présentes dans le binaire. Talos juge cette protection faible, car une personne qui inverse le fichier peut retrouver les valeurs. Le point compte, car il montre que l’IA n’est pas un gadget plaqué sur du code amateur : elle s’insère dans une chaîne de distribution pensée pour être monétisée.

Ce que recommande Talos face à ce type de stealer

Une partie du vol repose sur le contournement d’App-Bound Encryption dans Chrome, un mécanisme qui lie certaines données sensibles à l’application qui les utilise. Talos recommande de limiter les processus autorisés à lancer Chrome avec le mode headless, afin de bloquer cette voie de déchiffrement, et d’alerter lorsqu’un processus inattendu lance le navigateur sans interface. L’entreprise conseille aussi le stockage matériel des identifiants, puis la révocation des jetons compromis et le changement des mots de passe après incident.

Le fichier volta_debug.txt, qui consigne précisément ce qui a été collecté et si l’appel au modèle a réussi, mérite d’être conservé lors de l’investigation. Quand des phrases de seed ont été laissées en clair sur le disque, Talos estime que le portefeuille doit être traité comme entièrement compromis et les fonds migrés vers un nouveau wallet généré sur une machine isolée. L’angle de fond est clair : l’IA n’apporte pas ici une vitesse spectaculaire, mais un déplacement de l’effort vers la victime, qui finance sans le vouloir l’inférence menée sur sa propre machine.