VOLTA, le malware qui utilise l’IA pour noter ses victimes selon leur valeur financière

Comment fonctionne VOLTA

Le chercheur de Cisco Talos Ryan Fetterman a publié son analyse de VOLTA-AUTODOXER le 31 octobre 2026, à la suite de sa découverte via le programme CAIRN. Détecté pour la première fois le 11 octobre, le malware combine le vol traditionnel d’identifiants avec une étape de scoring des victimes pilotée par IA.

Après avoir infecté un système Windows, VOLTA collecte un large éventail de données : mots de passe, cookies et cartes de paiement depuis Chromium et Firefox, identifiants Thunderbird et Outlook, sessions Slack, données Discord, Telegram, Steam, Battle.net et Roblox, phrases de récupération de portefeuilles crypto, tokens OAuth Microsoft, clés SSH et cloud, profils Wi-Fi, et captures d’écran.

Les modèles d’IA comme couche de tri

Après exfiltration, VOLTA achemine les données via OpenRouter vers des modèles tels que Claude, Gemini et Kimi. Le modèle renvoie un dossier par victime classant les données par potentiel de monétisation et évaluant leur niveau de sécurité.

Si un modèle refuse la requête, VOLTA bascule automatiquement sur jusqu’à deux alternatives. La couche IA est optionnelle : sans clé API, les données brutes sont transmises sans classement.

Recommandations

Talos n’a pas encore observé de campagnes à grande échelle, mais le design du malware illustre une évolution majeure : l’IA s’intègre dans les chaînes criminelles pour maximiser la valeur des données volées.

Talos conseille de limiter les processus autorisant le lancement de Chromium en mode headless, de déclencher des alertes sur tout lancement inattendu, et de stocker les identifiants dans des magasins d’identifiants matériels.