Les chercheurs en sécurité de Cisco Talos ont détaillé un voleur d'informations Windows qui confie le contenu volé à un grand modèle de langage et lui demande de faire ce que les analystes criminels humains faisaient autrefois : déterminer quelles victimes valent la peine d'être poursuivies. Le malware, nommé VOLTA-AUTODOXER, utilise une étape de profilage des victimes basée sur LLM pour transformer les journaux d'identification bruts en dossiers prioritaires des personnes derrière les machines.
Dans une analyse publiée le 31 octobre par Ryan Fetterman, chercheur chez Talos, le malware – suivi par Talos sous le nom de VOLTA – est décrit comme un implant voleur mature avec une couche d'intégration d'IA facultative. Après avoir collecté les informations d'identification, les sessions de navigateur et les portefeuilles de crypto-monnaie, VOLTA rassemble un ensemble de preuves structurées sur la victime et les envoie à un fournisseur LLM avec des instructions pour agir en tant qu'analyste médico-légal. Ce développement indique où se dirigent les abus de l’IA dans la cybercriminalité : non seulement la génération de textes de phishing, mais aussi le travail de renseignement automatisé. Pour une couverture continue d'histoires comme celle-ci, consultez nos derniers développements en matière d'IA.
Volez tout, puis laissez l'IA régler le problème
VOLTA est apparu pour la première fois grâce aux recherches de CAIRN, et Talos le décrit comme un voleur d'informations Windows à suppression automatique, sans infrastructure appartenant à l'attaquant – des caractéristiques qui le rendent à la fois plus difficile à attribuer et plus difficile à perturber. Son étape de collecte est exhaustive même selon les normes des voleurs : mots de passe des navigateurs, cookies et cartes de paiement ; phrases de départ du portefeuille de crypto-monnaie ; Jetons de session Discord, Telegram, Steam et Roblox ; Jetons Microsoft OAuth ; Clés SSH et du fournisseur de cloud ; Profils Wi-Fi ; et des captures d'écran.
La nouveauté commence après le vol. VOLTA construit ce que Talos appelle un ensemble de preuves structurées contenant la géolocalisation et l'adresse du domicile, l'employeur et le domaine de l'employeur, l'année de naissance déduite, les quatre derniers chiffres des cartes de paiement, les espaces de travail Slack, les métadonnées de paternité du document, les indicateurs de sauvegarde de l'iPhone et même une évaluation en direct du compte Roblox de la victime.
Il enrichit ensuite cet ensemble en utilisant les propres sessions volées de la victime. Selon Talos, le malware recherche dans le Gmail de la victime les reçus d'achat pour corroborer son adresse personnelle, extrait l'historique des commandes UberEats et DoorDash et enrichit les comptes Discord via le jeton volé. Le résultat est un portrait d’une personne assemblé presque entièrement à partir de ses propres comptes connectés.
L'invite : « Agir en tant qu'analyste du renseignement médico-légal »
L'ensemble assemblé est sérialisé et envoyé aux LLM accessibles via OpenRouter, un service qui achemine les demandes vers plusieurs fournisseurs de modèles. L'invite du système demande au modèle d'agir comme « un analyste du renseignement médico-légal rédigeant une évaluation de cible ».
Le résultat requis est étonnamment corporatif. Il doit inclure une section intitulée « CE QU'ILS VALENT », classant les objets de valeur de la victime par potentiel de monétisation avec des niveaux faible, moyen et élevé, et une section sur « LEUR OPSEC », évaluant la posture de sécurité et l'hygiène des mots de passe de la victime. Le modèle devient effectivement l'analyste de triage de l'opérateur, produisant un dossier étayé par des citations qui indique au criminel où se trouve l'argent.
Talos a également trouvé des preuves que les opérateurs ont conçu autour des garde-corps de sécurité de l'IA. Si un modèle refuse d'effectuer l'évaluation cible, VOLTA bascule vers une chaîne de trois modèles, essayant le suivant sur toute la ligne – ce que le chercheur décrit comme un effort d'ingénierie direct fondé sur l'attente de refus du modèle. L'invite de configuration de l'IA récupérée à partir du malware contient même des instructions stylistiques : "Allez en profondeur, pas en profondeur... Soyez direct, spécifique, précis."
Pourquoi c'est important
Talos décrit précisément l'innovation : l'IA ici ne prend pas en charge les fonctionnalités traditionnelles des logiciels malveillants telles que l'obscurcissement ou la génération de leurres. Il travaille en tant qu'analyste du renseignement pour le compte de l'opérateur. L’idée de migrer vers le monde de la cybercriminalité, écrit la société, est de ratisser large, de tout voler et de laisser l’IA régler les détails.
Cela a des implications au-delà de cette seule famille de logiciels malveillants. Les voleurs d’informations alimentent déjà une grande partie de l’économie criminelle : les journaux sont vendus en gros et les acheteurs les parcourent manuellement. Une étape de tri basée sur un modèle automatise la sélection, permettant aux opérateurs peu qualifiés de tirer le maximum de valeur des vols à grand volume et de concentrer les attaques ultérieures, telles que l'extorsion ou le piratage de compte, sur les victimes qui peuvent réellement payer.
Pour les fournisseurs de modèles et les services de routage, cette affaire rappelle que les abus ne se limitent pas aux interfaces de chat publiques. L'accès basé sur l'API via les revendeurs et les agrégateurs crée une voie de monétisation pour les outils criminels, et le comportement de refus – clairement anticipé par les opérateurs de VOLTA – reste la première ligne de défense.
Pour les utilisateurs, les conseils pratiques sont inchangés mais plus urgents : la défense la plus sûre contre un voleur d'informations qui peut interroger toute votre vie numérique est de lui refuser l'accès en premier lieu, avec des mots de passe uniques, une authentification multifactorielle résistante au phishing et une hygiène rapide du navigateur et des informations d'identification.
Talos affirme que VOLTA est un implant mature, ce qui suggère que l'intégration de l'IA fonctionne déjà depuis un certain temps. Comme pour les innovations précédentes, les copies et les imitateurs ont tendance à suivre rapidement.
---
Gardez une longueur d'avance sur l'IARecevez les dernières actualités, analyses et avancées en matière d'IA, le tout en un seul endroit.
Lire plus d'actualités sur l'IA →
