Volta-Autodoxer, quand un logiciel voleur de données utilise l’intelligence artificielle pour trier ses victimes

SSacha

D’après Wired, des chercheurs de Cisco Talos ont identifié Volta-Autodoxer, un logiciel malveillant qui vole des données sur des ordinateurs Windows. Il peut transmettre un dossier sur la victime à des modèles d’intelligence artificielle, qui organiseraient les éléments et aideraient à repérer les cibles jugées les plus intéressantes. L’analyse automatisée par intelligence artificielle s’ajoute ici aux fonctions de collecte du logiciel. Cisco Talos décrit une étape qui pourrait produire une évaluation structurée de la victime à partir des informations dérobées. C’est un peu comme rassembler des papiers éparpillés pour constituer un dossier, avec un classement qui aiderait à repérer les éléments jugés importants.

SSacha

Les voleurs de données récupèrent notamment des mots de passe, des cookies ou des informations de paiement, et Volta-Autodoxer s’inscrit dans cette famille de logiciels. Il ajoute une étape qui demande à un grand modèle de langage de lire les informations rassemblées et d’en produire une évaluation structurée. Cisco Talos décrit cette étape comme un moyen de classer les actifs numériques d’une victime selon leur valeur potentielle pour des cybercriminels. Imaginez une boîte pleine de clés, de tickets et de reçus : l’intelligence artificielle ne fabrique pas ces objets, mais pourrait aider à repérer les clés qui semblent ouvrir les portes les plus importantes. Le logiciel pourrait ainsi trier les informations recueillies, sans que les éléments disponibles établissent comment ce tri serait utilisé ensuite.

SSacha

Volta-Autodoxer peut récupérer des identifiants, des jetons d’authentification, des cookies, des données de paiement et des sessions de services en ligne. Les chercheurs citent notamment Discord, Telegram, Steam et Roblox. Le logiciel peut ensuite effectuer une recherche plus approfondie dans un compte central, comme Gmail, pour ajouter des informations sur les habitudes ou la localisation de la victime. Des reçus et des historiques de commande peuvent contribuer à compléter le profil. En fait, ces éléments différents peuvent être rassemblés dans un même dossier, au-delà des seuls identifiants trouvés sur l’ordinateur.

SSacha

La description de Cisco Talos indique que Volta-Autodoxer peut poursuivre sa collecte au-delà des données prises directement sur l’appareil infecté. Il peut examiner un compte central, comme Gmail, afin d’y recueillir des informations sur les habitudes et la localisation de la victime. Des reçus et des historiques de commande peuvent notamment alimenter ce profil. C’est un peu comme trouver un trousseau de clés, puis chercher à comprendre ce qu’elles permettent d’ouvrir. Ces recoupements pourraient produire un dossier plus détaillé que la seule liste des données récupérées sur l’ordinateur.

SSacha

Volta-Autodoxer passe par OpenRouter, un service qui permet d’envoyer des demandes à différents fournisseurs de modèles d’intelligence artificielle. Le logiciel privilégie Claude Opus 4.6, un modèle d’Anthropic. Il prévoit aussi des modèles de repli si le modèle prioritaire bloque certaines demandes. Un modèle chinois à poids ouverts ferait également partie des possibilités, mais son nom n’est pas précisé dans les éléments publiés par Wired. Ce système de repli suggère que ses concepteurs ont envisagé qu’un modèle puisse refuser certaines requêtes. On sait surtout que l’intégration peut s’appuyer sur plusieurs fournisseurs plutôt que sur un seul.

SSacha

L’usage d’un service intermédiaire comme OpenRouter permet au logiciel d’envoyer ses requêtes à différents fournisseurs, plutôt que de dépendre d’un seul. Volta-Autodoxer privilégie Claude Opus 4.6 et prévoit des solutions de repli. Les informations disponibles ne précisent pas combien de demandes seraient traitées, ni quels résultats chaque modèle produirait. Il serait donc excessif d’affirmer que l’intelligence artificielle garantit une attaque plus efficace. L’étape d’analyse pourrait aider à classer les informations recueillies, mais elle reste une couche facultative ajoutée au logiciel voleur de données.

SSacha

Les fonctions décrites peuvent concerner des personnes qui utilisent de nombreux services en ligne et dont les comptes contiennent des informations variées. Les chercheurs citent des plateformes de discussion, de jeu et de messagerie, ainsi que des comptes de courrier électronique et des données de paiement. Cela ne permet pas de conclure que Volta-Autodoxer vise exclusivement une catégorie d’âge ou un groupe précis. Cisco Talos indique ne pas avoir établi si le logiciel a été utilisé dans la nature. La découverte et l’analyse du logiciel montrent donc ses capacités, sans confirmer qu’il a été déployé contre des victimes ou à grande échelle.

SSacha

La question du coût est également à traiter avec prudence. L’analyse de Cisco Talos présentée par Unite.AI décrit l’intégration de l’intelligence artificielle comme une couche facultative d’un implant de vol de données déjà mature. Elle ne précise pas le prix du logiciel, le budget de ses opérateurs ni le nombre de victimes. Ces éléments ne permettent donc pas d’évaluer son coût ou son rendement économique. L’intelligence artificielle ne remplace pas nécessairement les capacités traditionnelles : elle s’ajouterait à un logiciel déjà capable de voler des données. Cette distinction évite de présenter l’IA comme la cause unique du danger ou comme une condition indispensable au vol.

SSacha

Cisco Talos indique ne pas avoir établi si Volta-Autodoxer a été utilisé dans la nature. Unite.AI précise que les points de terminaison observés sont contrôlés par des tiers et qu’aucune infrastructure observée n’appartient aux attaquants. Ces observations ne permettent donc pas d’identifier une infrastructure contrôlée par les opérateurs du logiciel. Elles ne suffisent pas à établir comment ces connexions s’inscriraient dans une éventuelle campagne. Enfin, la présence d’une fonction d’intelligence artificielle ne montre pas que cette fonction a été utilisée à chaque fois. Il faut distinguer les capacités du programme de ce qui a pu être confirmé sur son emploi.

SSacha

L’analyse de Cisco Talos décrit une étape qui pourrait classer des actifs selon leur valeur potentielle pour des cybercriminels. Les éléments disponibles ne précisent pas comment cette évaluation serait vérifiée ni si elle conduirait à une action particulière. L’analyse automatisée ne remplace pas le logiciel nécessaire pour accéder aux comptes et collecter les informations. Les garde-fous des modèles peuvent également influer sur les réponses, ce qui contribue à expliquer la présence de modèles de repli dans la configuration observée. On peut donc parler d’une tentative d’automatiser le tri, pas d’un système dont l’efficacité ou l’autonomie seraient établies.

SSacha

Cisco Talos a repéré Volta-Autodoxer grâce à CAIRN, un cadre conçu pour détecter des outils de piratage intégrant des capacités d’intelligence artificielle. Cisco Talos indique que ce cadre a servi à repérer le logiciel. L’analyse de Talos décrit aussi une étape où un modèle peut classer les actifs des victimes selon leur valeur potentielle pour des cybercriminels. Le cadre met donc en évidence un outil associé à des capacités d’intelligence artificielle, sans confirmer à lui seul l’usage du logiciel dans des attaques. Cisco Talos indique ne pas avoir établi si Volta-Autodoxer a été utilisé dans la nature.

SSacha

Dans la description de Cisco Talos, l’intelligence artificielle intervient après la collecte pour analyser les informations et classer les actifs des victimes selon leur valeur potentielle. Son intégration est facultative et ne remplace pas les fonctions de vol de données du logiciel. Cela ne permet pas de conclure que l’IA rend le vol lui-même plus sophistiqué, ni que cette étape est systématiquement utilisée. Les chercheurs ont repéré le logiciel grâce à CAIRN, un cadre conçu pour détecter des outils de piratage intégrant des capacités d’intelligence artificielle. L’analyse porte donc sur un outil malveillant qui combine collecte de données et fonction d’analyse par modèle, sans établir que cette fonction a servi dans une attaque réelle.

SSacha

Il faut retenir que Volta-Autodoxer collecte des informations sensibles, notamment des identifiants, des jetons d’authentification, des données de paiement et des sessions de services en ligne. Il peut ajouter une étape d’intelligence artificielle pour analyser le dossier de la victime et classer les actifs selon leur valeur potentielle pour des cybercriminels. Cette fonction est facultative, et Cisco Talos n’a pas établi si le logiciel a été utilisé dans la nature. L’analyse décrit donc une capacité du programme, sans confirmer une nouvelle vague d’attaques automatisées. La combinaison de collecte et de classement pourrait faciliter l’examen des informations volées, mais les éléments disponibles ne permettent pas de mesurer combien de personnes auraient été touchées.