Un logiciel malveillant nommé VOLTA utilise des modèles de langage pour évaluer la valeur financière des victimes
4 novembre 2026 · 3 min de lecture
Également publié en Português (Brasil), English, 한국어, 中文, Indonesia, ไทย, עברית, Nederlands, Svenska, Norsk, Polski
Des chercheurs ont découvert un outil de vol de données appelé VOLTA qui intègre des modèles de langage de grande taille pour classer les victimes selon leur valeur financière potentielle. Ce logiciel malveillant, identifié sous le nom de VOLTA-AUTODOXER lors d'une étude menée par CAIRN, cible les systèmes Windows et agit comme un analyste au service des opérateurs d'attaque.
VOLTA collecte un large éventail de données sensibles, notamment des mots de passe de navigateurs, des cookies, des cartes de paiement, des phrases de récupération de portefeuilles cryptographiques, des données de session de plateformes comme Discord, Telegram, Steam et Roblox, des jetons Microsoft OAuth, des clés SSH, des configurations de services cloud, des profils Wi-Fi et des captures d'écran. À partir de ces éléments, il construit un dossier structuré incluant la géolocalisation, l'adresse personnelle, le lieu de travail avec le domaine de l'entreprise, l'année de naissance estimée, les quatre derniers chiffres d'une carte bancaire, des espaces de travail Slack, des métadonnées de documents, des indices de sauvegardes iPhone et une estimation de la valeur d'un compte Roblox.
Le logiciel enrichit ensuite ces informations en exploitant les jetons de session volés. Il recherche dans Gmail des reçus d'achat pour confirmer une adresse, extrait l'historique des commandes sur UberEats et DoorDash, et recueille des détails supplémentaires via les comptes Discord. Une fois le paquet de données constitué, il est sérialisé et envoyé via une requête POST à la plateforme OpenRouter. Un prompt système ordonne au modèle de langage d'agir comme un analyste chargé d'évaluer la cible, avec deux sections obligatoires dans le rapport : une section intitulée « Valeur » classant les actifs selon leur potentiel de monétisation (faible, moyen, élevé) et une section « Sécurité » évaluant les pratiques de protection de la victime et la qualité de ses mots de passe.
L'architecture de VOLTA révèle une ingénierie sophistiquée pour contourner les mécanismes de sécurité intégrés aux modèles de langage. Si un modèle refuse d'exécuter l'évaluation demandée, le logiciel bascule automatiquement vers une chaîne de trois autres modèles, suggérant que l'opérateur a anticipé les refus et prévu des alternatives moins restrictives. Le paramètre de température du modèle est fixé à une valeur basse de 0,2, ce qui indique une recherche de précision et de cohérence dans les réponses générées plutôt que de créativité.
Le prompt système demande explicitement au modèle d'identifier des corrélations entre des fragments de données disparates, comme des liens entre des informations personnelles (noms, adresses, établissements scolaires) et les mots de passe utilisés. L'objectif n'est pas de trouver de nouvelles données, mais de maximiser la valeur des informations déjà volées en produisant des déductions actionnables. VOLTA ne se contente pas de copier les portefeuilles cryptographiques : il utilise un outil intégré pour tenter de cracker les coffres-forts de portefeuilles et inscrit les résultats dans une section dédiée de son rapport intitulée « Coffres-forts de portefeuilles crackés ».
Ce logiciel malveillant possède également une fonction d'autodestruction et n'utilise aucune infrastructure appartenant directement aux attaquants, ce qui complique son attribution et son analyse. Sa capacité à transformer des logs bruts de credentials en dossiers structurés et hiérarchisés marque une évolution significative par rapport aux voleurs de données traditionnels, faisant du modèle de langage un composant central du processus d'attaque plutôt qu'un simple accessoire.