Les logiciels malveillants n’ont pas attendu l‘intelligence artificielle pour voler des mots de passe. Mais ils commencent désormais à s’en servir pour mieux comprendre ce qu’ils dérobent.
Le malware baptisé VOLTA-AUTODOXER en fait par exemple partie. Il ne se contente pas de récupérer des informations personnelles. Il les transmet à des modèles d’IA, notamment Claude d’Anthropic, afin d’obtenir une évaluation détaillée de ses victimes.
Nous devons sa découverte à Cisco Talos, l’équipe de recherche en cybersécurité de Cisco.
Mots de passe, banques, Wi-Fi… VOLTA-AUTODOXER prend tout !
VOLTA-AUTODOXER appartient à la famille des infostealers. Ces logiciels malveillants sont conçus pour récupérer discrètement les informations stockées sur un ordinateur infecté.
Dans son cas, la récolte est particulièrement vaste. Le programme s’intéresse notamment aux mots de passe enregistrés dans les navigateurs, aux cookies, aux coordonnées bancaires et aux profils de messagerie Thunderbird et Outlook.
Il récupère également des jetons d’authentification Microsoft, des captures d’écran, des configurations SSH et des fichiers liés aux services cloud. Les mots de passe Wi-Fi enregistrés sont aussi dérobés en clair.
Les amateurs de cryptomonnaies ne sont pas épargnés. Le malware cible leurs portefeuilles numériques et tente même de casser leur protection pour accéder aux fonds.
Mais le plus intéressant arrive après cette première collecte. VOLTA ne se contente pas d’empiler les informations comme un cambrioleur qui viderait tous les tiroirs. Il cherche à comprendre à qui elles appartiennent.
Pour cela, il fouille notamment les comptes Gmail et les sessions ouvertes. Les reçus Amazon, les commandes Uber Eats ou DoorDash et les historiques d’achats peuvent ainsi lui fournir des indices supplémentaires.
Ces informations permettent de reconstituer plusieurs éléments du profil de la victime, notamment son adresse, sa localisation et ses habitudes.
Qu’est-ce que Claude vient faire dans cette affaire ?
Une fois les données rassemblées, VOLTA-AUTODOXER constitue un dossier numérique sur sa victime. Celui-ci contient notamment des informations personnelles, professionnelles et financières.
Selon les recherches de Cisco Talos rapportées par WIRED et Tom’s Hardware, le malware transmet ce dossier à OpenRouter. Pour ceux qui ne le savent pas, ce dernier est un service permettant d’interroger différents modèles d’IA.
Son premier choix est Claude Opus 4.6, développé par Anthropic. Le modèle reçoit des instructions pour se comporter comme un analyste en renseignement.
Sa mission consiste à produire une évaluation structurée de la personne ciblée. Il doit notamment identifier ses biens susceptibles d’avoir une valeur financière. Il examine également ses habitudes de sécurité et repère les informations qui pourraient intéresser les pirates.
Un compte contenant des informations bancaires, un portefeuille de cryptomonnaies ou des accès professionnels peuvent ainsi présenter des intérêts très différents.
L’IA permet de traiter rapidement toutes ces informations et de les organiser dans un rapport exploitable.
Si Claude refuse, le malware a déjà prévu un plan B
L’utilisation de Claude pourrait poser un problème aux pirates. Les modèles d’IA disposent de protections destinées à empêcher certaines utilisations malveillantes. Mais les créateurs de VOLTA-AUTODOXER semblent avoir anticipé cette difficulté.
Si Claude refuse de répondre ou fournit une analyse insuffisante, le malware peut se tourner vers Kimi K2 de Moonshot AI, puis vers Gemini 2.5 Flash de Google. Cette possibilité de changer de modèle montre que ses concepteurs ont prévu plusieurs solutions pour contourner les refus éventuels.
Plus étonnant encore, l’IA n’est pas indispensable au fonctionnement du logiciel malveillant. Sans clé API OpenRouter, VOLTA peut tout de même transmettre les informations volées via Telegram.
L’analyse automatisée constitue donc une fonctionnalité supplémentaire, et non une condition nécessaire au vol.
D’après Cisco Talos, le malware semble également conçu pour être commercialisé auprès d’autres cybercriminels. Son architecture comporte plusieurs paramètres personnalisables, notamment les clés API et le canal Telegram utilisé pour recevoir les rapports.
- Partager l'article :
