VOLTA : un LLM chiffre la valeur de chaque victime

Ce qui se passe

Un chercheur de Cisco Talos, Ryan Fetterman, documente VOLTA-AUTODOXER, dit VOLTA, un voleur d'identifiants pour Windows. Son originalité n'est pas ce qu'il prend, mais ce qu'il en fait : un modèle de langage transforme le butin en dossier sur la personne, avec ce qu'elle vaut.

Cette fiche s'appuie sur le compte rendu de The Hacker News, qui cite Talos ; le rapport d'origine n'a pas été relu.

Ce qu'il vole

• mots de passe et cookies des navigateurs Chromium ;
• données des profils Outlook et des espaces Slack ;
• cartes bancaires, phrases de récupération de portefeuilles ;
• sessions Discord, Telegram, Steam et Roblox ;
• jetons OAuth Microsoft, clés SSH, clés de fournisseurs cloud ;
• profils Wi-Fi et captures d'écran.

Comment le modèle intervient

1. VOLTA assemble un dossier : géolocalisation et adresse, employeur, année de naissance déduite, quatre derniers chiffres de carte, espaces Slack, métadonnées de documents, traces de sauvegardes d'iPhone, valeur du compte Roblox.
2. Avec la session volée, il cherche dans Gmail des reçus Amazon, DoorDash, Uber Eats, Grubhub, Walmart et PayPal pour confirmer l'adresse du domicile.
3. Il envoie le tout à OpenRouter avec un prompt système de 240 mots, qui présente le modèle comme un analyste et lui interdit d'ajouter des faits extérieurs au dossier.
4. Le modèle par défaut est Claude Opus 4.6. Si la réponse contient une formule comme « I can't » ou « I'm not able », VOLTA essaie Kimi K2, puis Gemini 2.5 Flash.

Le rapport obtenu compte notamment une section « WHAT THEY'RE WORTH », avec des biens classés en trois niveaux, et une section « THEIR OPSEC » sur les habitudes de sécurité de la victime. Les données partent sur Telegram en trois temps : après le vol, après l'appel au modèle, puis après la recherche dans Gmail.

Pourquoi ça compte

Un gabarit à six paramètres, dont le canal Telegram et les clés d'API, se remplit à la compilation. Talos y voit soit un kit vendu, soit un outil compilé à la commande. Dans le premier cas, l'analyse devient accessible à n'importe quel client. Talos résume l'enjeu en un « déplacement de l'effort », plutôt qu'un gain de vitesse ou d'échelle.

Autre outil relevé par Talos la semaine dernière, NIK C2, écrit en Go, gère plus de 52 commandes. Si l'opérateur n'a pas fourni de clé, il cherche OPENAI_API_KEY dans l'environnement de la victime : celle-ci finance alors l'analyse de ses propres données, une forme de LLMjacking.

Comment s'y prendre

Ces gestes sont notre lecture, ils ne viennent pas de Talos :

1. Sortez les clés d'API de vos variables d'environnement globales et de vos fichiers de profil.
2. Fixez un plafond de dépenses sur chaque clé : une hausse soudaine devient une alerte.
3. Sur un poste qui n'utilise pas OpenRouter, considérez une connexion à ce service comme un signal à examiner.
4. Après une infection, changer les mots de passe ne suffit pas : révoquez les sessions, les jetons et les clés.

L'article ne donne ni nombre de victimes ni indicateurs techniques. Pour ceux-ci, reportez-vous au rapport de Talos.

À retenir

Rien de neuf côté vol, mais le tri, qui demandait du temps et de l'expérience, ne coûte plus qu'un appel d'API.

Source : The Hacker News, d'après Cisco Talos. Source en anglais.