Présentation du malware

Le nouveau cheval de Troie nommé Volta a été détecté par plusieurs équipes de réponse à incident au premier semestre 2024. Il se classe parmi les infostealers classiques – il collecte des informations d’identification, des cookies et des captures d’écran – mais il introduit une couche d’intelligence artificielle capable de autodoc, c’est‑à‑dire de repérer automatiquement les champs de formulaire sur les sites visités et d’y injecter les données volées sans interaction humaine.

Architecture technique

Volta est distribué sous forme d’un exécutable Windows PE compact (environ 350 KB). Le chargeur initialise un environnement d’exécution isolé, télécharge un modèle de langage de petite taille (environ 120 Mo) depuis le serveur de commande et contrôle (C2) et le charge en mémoire via la fonction LoadLibrary. Le modèle, dérivé d’une version allégée de GPT‑2, est utilisé pour analyser le DOM des pages web affichées dans les navigateurs Chromium et Edge. En s’appuyant sur les API Windows UIAutomation, le malware identifie les champs username et password, puis génère les requêtes HTTP POST correspondantes.

Processus de vol et exfiltration

Lorsqu’un utilisateur visite une page de connexion, Volta capture les frappes clavier via les hooks SetWindowsHookEx et stocke les chaînes dans un buffer chiffré AES‑256. Simultanément, le module d’IA extrait les métadonnées du formulaire (action URL, méthode) et construit une requête d’autodoc contenant les identifiants déjà récupérés. Cette requête est envoyée immédiatement au serveur C2, contournant les mécanismes de même‑origine grâce à une connexion HTTPS directe. En plus des identifiants, le malware exfiltre les cookies de session et les captures d’écran prises avec l’API BitBlt. Les données sont agrégées dans un fichier payload.bin avant d’être compressées avec zlib et transmises en blocs de 4 KB.

Analyse des risques et limites

L’intégration d’une IA locale augmente la capacité du malware à s’adapter à de nouveaux sites sans mise à jour du code. Cependant, la taille du modèle impose une empreinte mémoire notable (≈ 200 MB en cours d’exécution), ce qui peut déclencher des alertes sur les systèmes de détection d’anomalies basées sur la consommation de ressources. De plus, le modèle nécessite un téléchargement initial depuis le C2, offrant un point d’interception possible pour les équipes de threat hunting. Enfin, la dépendance à l’API UIAutomation rend le malware sensible aux restrictions de privilèges : sur les environnements où les comptes utilisateurs sont limités, la capacité à interagir avec les fenêtres du navigateur est réduite, ce qui diminue l’efficacité de l’autodoc.