Présentation du malware
VOLTA est un infostealer détecté récemment dans des campagnes ciblant des utilisateurs de systèmes Windows. Le composant principal intercepte les données d’identification, les cookies de session et les informations de paiement stockées localement. Ces artefacts sont ensuite agrégés dans un fichier de configuration chiffré avant d’être transmis à un serveur de commande et contrôle (C2). Le comportement de collecte suit le schéma habituel des voleurs d’informations, mais l’ajout d’une couche d’analyse basée sur l’intelligence artificielle constitue la nouveauté signalée.
Intégration des modèles d'IA
Le code du chargeur indique la présence de bibliothèques Python intégrées capables d’appeler les API de trois modèles de génération de texte : Claude (Anthropic), Gemini (Google) et Kimi (un modèle moins connu). Chaque appel transmet un sous‑ensemble de données volées sous forme de texte structuré. Les réponses retournées contiennent des scores numériques associés à chaque profil de victime. Aucun identifiant de version d’API n’est fourni dans la source, ce qui limite la précision de l’analyse des exigences d’authentification.
Mécanismes de classement des victimes
Les modèles d’IA sont exploités pour estimer la « valeur financière » d’une cible. La méthode repose sur l’évaluation de critères tels que le nombre de comptes bancaires, la présence de cartes de crédit, la fréquence d’achats en ligne et la valeur des crypto‑portefeuilles détectés. En pratique, le chargeur crée un prompt du type : « Évalue le risque financier de cet utilisateur à partir des données suivantes : … ». Les modèles renvoient un score compris entre 0 et 100, qui sert à prioriser les victimes dans la file d’attente du serveur C2. Cette approche permet aux opérateurs de concentrer leurs ressources sur les cibles les plus rentables.
Implications et contre‑mesures
L’utilisation d’IA pour le tri des victimes augmente la complexité de la chaîne d’attaque. Les défenses traditionnelles qui bloquent les exfiltrations de données restent efficaces, mais la détection du trafic vers les points d’accès des modèles d’IA nécessite une inspection plus fine du réseau. Les organisations doivent surveiller les requêtes sortantes vers les domaines associés à Claude, Gemini et Kimi, et appliquer des listes de blocage au niveau du pare‑feu. Du côté des points d’extrémité, le renforcement des politiques de stockage des informations sensibles (par exemple, le chiffrement des cookies et la désactivation du stockage de mots de passe en clair) réduit la surface exploitable par le chargeur. Enfin, la transparence limitée des modèles d’IA empêche une analyse détaillée des algorithmes de scoring, ce qui complique l’élaboration de signatures de détection basées sur le contenu des réponses retournées.
