Des chercheurs viennent de mettre au jour un infostealer capable de fouiller jusque dans les reçus Uber Eats de ses victimes, avant de confier son butin à Claude pour évaluer ce que les pirates pourraient en tirer. Un procédé qui pourrait leur permettre de repérer plus rapidement les comptes les plus lucratifs à exploiter, sans avoir à examiner eux-mêmes toutes les données volées.
Une facture de livraison pour retrouver une adresse personnelle, un compte Roblox pour estimer la valeur d'objets virtuels, des identifiants professionnels pour identifier un employeur : les développeurs de VOLTA-AUTODOXER ont visiblement compris l'intérêt de recouper les traces de notre vie numérique. Dans une enquête publiée le 31 octobre dernier, les chercheurs de Cisco Talos ont révélé l'existence d'un malware poussant l'exercice jusqu'à confier l'analyse des données volées à une intelligence artificielle chargée de dresser un profil détaillé de la victime et d'identifier ce qui pourrait rapporter le plus aux cybercriminels.
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Un malware qui confie à l'IA l'analyse des données volées
Dans le détail, VOLTA appartient à la famille des infostealers, ces logiciels malveillants spécialisés dans le vol d'informations. Une fois exécuté sur un PC Windows, il siphonne les identifiants et les données de cartes bancaires enregistrés dans les navigateurs, les accès aux comptes de messagerie, les sessions Discord, Telegram ou Steam, mais aussi les mots de passe Wi-Fi et les portefeuilles de cryptomonnaies qu’il peut tenter de déverrouiller.
Le programme réutilise également les sessions dérobées pour accéder aux comptes en ligne de la victime et y recueillir davantage d'informations. Il peut, par exemple, consulter Gmail à la recherche de confirmations de commandes Amazon, PayPal ou Uber Eats, et parcourir les historiques de livraison de certains services. Ces informations lui permettent de confirmer une adresse personnelle et d'enrichir le profil de son propriétaire. Il regroupe alors ses découvertes dans un dossier comprenant, entre autres, l'identité présumée de la victime, son domicile, son employeur et ses ressources numériques.
VOLTA peut ensuite soumettre ce dossier à Claude, par l'intermédiaire d'OpenRouter, un service donnant accès à plusieurs modèles d'IA, et lui demander de se comporter comme un analyste du renseignement, chargé d'évaluer les ressources de la victime selon leur potentiel financier. Il confie aussi au modèle l'examen de ses habitudes de sécurité, dont la qualité de ses mots de passe, afin de repérer les faiblesses susceptibles de faciliter de nouvelles attaques.
Les développeurs ont anticipé les éventuels refus de Claude. Si le modèle refuse de répondre ou si la requête échoue, VOLTA peut solliciter Kimi, puis Gemini. L'analyse par IA n'est toutefois pas indispensable à son fonctionnement : le malware peut transmettre les informations volées sans passer par cette étape. Les données recueillies et, le cas échéant, l'analyse de l'IA sont envoyées à l'attaquant via Telegram. Le programme peut ensuite supprimer son propre exécutable pour limiter les traces de son passage.
Comment se protéger de VOLTA ?
Pour l'heure, Cisco Talos ne documente aucune campagne d'infection active et ne précise pas comment VOLTA pourrait arriver sur un ordinateur. Impossible, donc, de désigner un piège particulier à éviter. Pour les particuliers, la prévention repose sur les précautions habituelles contre les logiciels malveillants : vérifier la provenance des programmes téléchargés, conserver une protection antivirus active et maintenir Windows ainsi que ses applications à jour.
Les chercheurs ont néanmoins identifié un moyen de contrer l'une des techniques utilisées par VOLTA pour contourner le chiffrement des données de Chrome. En limitant les programmes autorisés à lancer le navigateur sans afficher son interface, les administrateurs peuvent bloquer cette méthode de récupération des informations protégées. La mesure concerne principalement les ordinateurs administrés en entreprise et ne bloque pas ses autres capacités de vol.
Si l'infection a déjà eu lieu, la disparition du programme ne signifie pas que les comptes sont hors de danger. Les pirates peuvent conserver des sessions de connexion dérobées, même après un changement de mot de passe. Il faut donc intervenir depuis un appareil sain, renouveler les identifiants concernés et déconnecter les sessions ouvertes depuis les paramètres de sécurité des différents services. Les clés SSH et autres secrets d'authentification potentiellement compromis doivent également être révoqués ou renouvelés.
Enfin, si la phrase de récupération d'un portefeuille de cryptomonnaies était enregistrée sans protection sur l'ordinateur, Cisco Talos recommande de considérer ce portefeuille comme compromis et de transférer les fonds vers un nouveau, créé dans un environnement sûr.
