Nouveau malware ciblant les données personnelles

Des chercheurs ont identifié un nouveau logiciel espion, baptisé VOLTA-AUTODOXER, capable d'accéder aux reçus Uber Eats et à d'autres données personnelles de ses victimes, avant de transmettre les informations volées à un modèle d'intelligence artificielle pour analyse.

Un malware qui vole différents types de données

Le logiciel malveillant est conçu pour dérober une grande variété d'informations, notamment les identifiants et les données de cartes bancaires enregistrées dans les navigateurs, l'accès aux comptes de messagerie, les sessions sur des plateformes comme Discord, Telegram ou Steam, les mots de passe Wi-Fi et les portefeuilles de cryptomonnaies. Il peut également réutiliser les sessions volées pour accéder aux comptes en ligne des victimes et collecter davantage d'informations, par exemple en consultant Gmail à la recherche des confirmations de commande Amazon, PayPal ou Uber Eats, et en parcourant l'historique des livraisons de certains services.

L'analyse par IA aide à identifier les cibles

Ces informations permettent au malware de confirmer une adresse postale et d'enrichir le profil de son propriétaire. Les données collectées sont regroupées dans un fichier contenant l'identité présumée de la victime, son lieu de résidence, son employeur et ses ressources numériques. VOLTA peut ensuite soumettre ce fichier à Claude, via OpenRouter, un service donnant accès à plusieurs modèles d'IA, et lui demander d'agir comme un analyste du renseignement chargé d'évaluer les ressources de la victime en fonction de son potentiel financier.

Un malware qui fait appel à plusieurs modèles d'IA

Le logiciel demande également au modèle d'examiner les habitudes de sécurité de la victime, notamment la qualité de ses mots de passe, afin de repérer les failles qui pourraient faciliter de nouvelles attaques. Les développeurs du malware ont anticipé les refus potentiels de Claude. Si le modèle refuse de répondre ou si la requête échoue, VOLTA peut alors s'adresser à Kimi, puis à Gemini. Toutefois, l'analyse par IA n'est pas indispensable à son fonctionnement : le malware peut transmettre les informations volées sans passer par cette étape.

Un malware qui communique via Telegram

Les données collectées et, le cas échéant, l'analyse par IA sont envoyées à l'attaquant via Telegram. Le programme peut ensuite supprimer son propre exécutable afin de réduire les traces de sa présence. Cisco Talos, les chercheurs qui ont identifié le malware, n'ont documenté aucune campagne d'infection active et ne précisent pas comment VOLTA pourrait se retrouver sur un ordinateur. Il est donc impossible d'identifier un piège particulier à éviter.

Stratégies de prévention et de réponse

Pour les particuliers, la prévention repose sur les précautions habituelles contre les logiciels malveillants : vérifier la provenance des programmes téléchargés, maintenir un antivirus actif et garder Windows et ses applications à jour. Les chercheurs ont identifié un moyen de contrer l'une des techniques employées par VOLTA pour contourner le chiffrement des données de Chrome. En limitant les programmes autorisés à lancer le navigateur sans afficher son interface, les administrateurs peuvent bloquer cette méthode de récupération des informations protégées. Cette mesure concerne surtout les ordinateurs gérés en entreprise et ne bloque pas ses autres capacités de vol de données.

Actions à mener après une infection

Si l'infection a déjà eu lieu, la disparition du programme ne signifie pas que les comptes sont hors de danger. Les pirates peuvent conserver les sessions de connexion volées, même après un changement de mot de passe. Il est donc nécessaire d'agir depuis un appareil sain, de renouveler les identifiants concernés et de déconnecter les sessions ouvertes depuis les paramètres de sécurité des différents services. Les clés SSH et les autres secrets d'authentification potentiellement compromis doivent également être révoqués ou renouvelés. Enfin, si la phrase de récupération d'un portefeuille de cryptomonnaies était stockée sans protection sur l'ordinateur, Cisco Talos recommande de considérer ce portefeuille comme compromis et de transférer les fonds vers un nouveau portefeuille, créé dans un environnement sécurisé.