Un logiciel voleur de données interroge Claude, Kimi ou Gemini pour classer ses victimes par valeur, selon Cisco Talos

Le 31 octobre, les chercheurs de Cisco Talos ont décrit VOLTA, un logiciel malveillant Windows de type « infostealer » (voleur d’identifiants) qui s’efface après usage et dont la particularité est de confier le tri du butin à une IA. Il aspire mots de passe et cookies des navigateurs, profils Outlook, espaces Slack, jetons d’authentification Microsoft (OAuth, qui donnent accès à un compte sans mot de passe), clés SSH et de fournisseurs cloud, puis envoie le tout, via la passerelle OpenRouter (un intermédiaire qui donne accès à plusieurs modèles avec une seule clé), au modèle Claude Opus 4.6 par défaut, avec Kimi K2 puis Gemini 2.5 Flash en secours si le premier refuse. Le modèle reçoit la consigne de se comporter en « analyste du renseignement » et produit un dossier qui classe ce que la victime possède par facilité de revente et évalue son niveau de protection ; le résultat arrive au pirate sur Telegram, et Talos pense que l’outil est vendu en kit, un exécutable sur mesure étant compilé pour chaque client. Après l’affaire ARTEX que nous signalions le 27 octobre, la nouveauté n’est pas le vol mais l’industrialisation du tri : le criminel sait en quelques secondes quelles victimes valent une rançon, un détournement de virement ou une revente d’accès. Ce que cela change pour vous : si un poste est infecté, changer les mots de passe ne suffit pas, il faut aussi révoquer les sessions et jetons Microsoft 365 et les clés cloud ; demandez à votre prestataire d’activer le stockage des identifiants adossé à la puce de sécurité du poste et de bloquer le lancement de Chrome en mode « sans fenêtre » (headless) par des programmes inconnus, le mécanisme utilisé ici pour déchiffrer les mots de passe du navigateur.