Un voleur de données qui sous-traite le tri à une IA
Les chercheurs de Cisco Talos ont publié le 31 octobre une enquête sur VOLTA-AUTODOXER, un malware de la famille des infostealers, rapporte Clubic. Une fois exécuté sur un PC Windows, il siphonne les identifiants et les données de cartes bancaires enregistrés dans les navigateurs, les accès aux messageries, les sessions Discord, Telegram ou Steam, les mots de passe Wi-Fi et les portefeuilles de cryptomonnaies.
Sa particularité tient à l'étape suivante. Le programme réutilise les sessions dérobées pour ouvrir les comptes en ligne de la victime et y collecter davantage d'informations. Il consulte Gmail à la recherche de confirmations de commandes Amazon, PayPal ou Uber Eats, et parcourt des historiques de livraison pour confirmer une adresse personnelle.
Il compile alors un dossier contenant l'identité présumée de la victime, son domicile, son employeur et ses ressources numériques. Ce dossier est ensuite soumis à Claude, via OpenRouter, un service d'accès à plusieurs modèles. La consigne donnée au modèle : se comporter comme un analyste du renseignement et évaluer les ressources de la victime selon leur potentiel financier.
malwares are getting too smart. Cisco’s security research team found a Windows infostealer that steals your passwords, cards, crypto wallets, then deletes itself after it runs. but it doesn’t stop there. it uses Claude Opus 4.6 to estimate how much you’re worth to a criminal…Voir sur X
Trois modèles en cascade et un effacement automatique
Les développeurs ont prévu le refus. Si Claude ne répond pas ou si la requête échoue, VOLTA sollicite Kimi, puis Gemini. L'analyse par IA n'est pas indispensable : le malware peut transmettre les données volées sans cette étape.
Le modèle est aussi chargé d'examiner les habitudes de sécurité de la victime, dont la qualité de ses mots de passe, pour repérer les failles exploitables lors d'attaques ultérieures. Les données et, le cas échéant, l'analyse générée sont exfiltrées vers l'attaquant dans une archive, via la connexion réseau de la victime. Le programme supprime ensuite son propre exécutable pour limiter les traces.
Cisco Talos ne documente pour l'heure aucune campagne d'infection active et ne précise pas le vecteur de diffusion. Les chercheurs ont en revanche identifié une parade partielle : en limitant les programmes autorisés à lancer Chrome sans afficher son interface, les administrateurs bloquent la technique utilisée par VOLTA pour contourner le chiffrement des données du navigateur. La mesure vise surtout les postes administrés en entreprise et ne neutralise pas ses autres capacités de vol.
Les TPE et PME déjà en première ligne
Le rapport d'activité 2025 de Cybermalveillance.gouv.fr, relayé par France Num, fait état de plus de 500 000 victimes assistées, en hausse de 20 % par rapport à 2024. Les entreprises représentent 6 % des demandes, principalement des TPE et PME, avec une progression de 73 % en un an.
| Indicateur | Chiffre | Source |
|---|---|---|
| Victimes assistées en 2025 | plus de 500 000 (+20 % sur un an) | Cybermalveillance.gouv.fr via France Num |
| Entreprises assistées | +73 % en un an, 6 % des demandes | Cybermalveillance.gouv.fr via France Num |
| Coût moyen d'une cyberattaque | environ 14 720 € (contre 15 640 € l'année précédente) | Rapport Hiscox 2023, via data.gouv.fr |
| Entreprises ayant subi une attaque | 53 % (contre 48 % l'année précédente) | Rapport Hiscox 2023, via data.gouv.fr |
| Entreprises françaises utilisant l'IA | 18 % en 2025, +8 points sur un an | Insee |
Selon le même rapport Hiscox cité par data.gouv.fr, une entreprise sur huit déclare des coûts dépassant 230 000 euros, et le nombre d'entreprises de moins de dix salariés attaquées a augmenté de plus de 50 % en trois ans.
Que faire après une infection
Cisco Talos insiste sur un point : la disparition du programme ne met pas les comptes hors de danger. Les attaquants peuvent conserver des sessions de connexion dérobées, y compris après un changement de mot de passe.
- Intervenir depuis un appareil sain, non infecté
- Renouveler les identifiants concernés
- Déconnecter les sessions ouvertes dans les paramètres de sécurité de chaque service
- Révoquer ou renouveler les clés SSH et autres secrets d'authentification
- Transférer les fonds d'un portefeuille crypto dont la phrase de récupération était stockée en clair
Côté prévention, les chercheurs renvoient aux précautions classiques : vérifier la provenance des programmes téléchargés, maintenir un antivirus actif et tenir Windows et ses applications à jour.
Ce que ça change pour votre entreprise
Un poste compromis dans une TPE expose la boîte mail, le CRM et les accès bancaires, et le profilage automatisé accélère le passage du vol à l'exploitation. La revue des sessions actives et la rotation des secrets d'authentification valent d'être inscrites dans les procédures internes, au même titre que les mots de passe.
