Un logiciel malveillant utilise l'intelligence artificielle pour évaluer la valeur financière de ses victimes

a blue abstract background with lines and dots — Conny Schneider / Unsplash

Le logiciel malveillant VOLTA, également identifié sous le nom de VOLTA-AUTODOXER, a été conçu pour voler des données et utiliser des grands modèles de langage afin de classer les victimes selon leur valeur potentielle.

L'outil fonctionne comme un voleur de données pour Windows capable de s'auto-supprimer. Il ne s'appuie pas sur une infrastructure appartenant aux attaquants. Le programme extrait des mots de passe, des cookies et des données de cartes de paiement depuis des navigateurs basés sur Chromium, Firefox et Thunderbird. Il cible également des profils Outlook, des espaces de travail Slack, des sessions Steam et Battle.net, ainsi que des jetons Discord, des sessions Telegram et des comptes Roblox. Le logiciel accède aux fichiers de configuration SSH et aux services cloud tels que gcloud, OpenVPN et Hide.me. Pour les portefeuilles de cryptomonnaies, il utilise un outil intégré pour forcer les coffres-forts.

Une fois les données collectées, VOLTA crée un ensemble structuré comprenant la géolocalisation, l'adresse personnelle, le lieu de travail, l'année de naissance présumée, les quatre derniers chiffres d'une carte bancaire et la valeur estimée d'un compte Roblox. Le logiciel enrichit ces informations en utilisant des jetons de session pour rechercher des reçus d'achat dans Gmail, des historiques de commandes UberEats et DoorDash, ainsi que des détails supplémentaires sur Discord.

Ces données sont envoyées via une requête POST à la plateforme OpenRouter. Un modèle de langage agit alors comme un analyste pour transformer les journaux bruts en un dossier structuré. Le modèle doit produire une section sur la valeur, classant les actifs par niveau de monétisation, soit faible, moyen ou élevé, et une section sur la sécurité pour évaluer la protection et la qualité des mots de passe de la victime. Le modèle cherche également des liens entre des fragments de données disparates, comme les informations personnelles et les mots de passe.

Pour garantir la précision, le paramètre de température du modèle est fixé à 0,2. Afin de contourner les mécanismes de protection des modèles, le logiciel utilise une chaîne de trois autres modèles en cas de refus de l'évaluation initiale.