VOLTA-AUTODOXER : un infostealer Windows intégrant l'IA pour prioriser les victimes

🔍 Contexte

Publié le 31 octobre 2026 par Ryan Fetterman sur le blog Talos Intelligence (Cisco), cet article présente une analyse technique approfondie du malware VOLTA-AUTODOXER, découvert dans le cadre de l’effort de recherche CAIRN. Il s’agit d’un infostealer Windows mature intégrant une couche d’intelligence artificielle pour automatiser la priorisation des victimes.

🧬 Description du malware

VOLTA-AUTODOXER est un infostealer PE32+ x86-64 auto-supprimant ciblant Windows, sans infrastructure propre à l’attaquant. Il opère selon un modèle de builder : l’auteur vend l’accès, le client fournit ses paramètres (clés API, canal Telegram), et un binaire personnalisé est compilé pour chaque commande.

Capacités de collecte :

• Identifiants, cookies et cartes de paiement (navigateurs Chromium, Firefox, Thunderbird)
• Sessions Discord, Telegram, Steam, Battle.net, Roblox
• Tokens Microsoft OAuth, clés SSH et fichiers de configuration cloud (gcloud, OpenVPN, Hide.me)
• Profils Outlook, espaces de travail Slack
• Phrases de récupération de portefeuilles cryptographiques (avec craquage embarqué inline)
• Mots de passe Wi-Fi via WlanGetProfile
• Captures d’écran

Enrichissement en temps réel :

• Interrogation de la boîte Gmail de la victime (via token volé) pour des reçus Amazon, DoorDash, Uber Eats, Grubhub, Walmart, PayPal
• Appels directs aux API Uber Eats et DoorDash pour l’historique de commandes
• Enrichissement du profil Discord via le token volé
• Valorisation du compte Roblox via Rolimons.com

🤖 Intégration IA

Après collecte et enrichissement, VOLTA assemble un fichier Identity_Report.txt sérialisé en JSON, puis le POSTe à OpenRouter (openrouter.ai/api/v1/chat/completions) avec un prompt système demandant au modèle d’agir comme “un analyste de renseignement forensique rédigeant une évaluation de cible”.

Architecture multi-modèles :

• Température fixée à 0.2 pour des sorties déterministes et cohérentes
• Détection des refus de modèle (phrases “I can’t”, “I’m not able”) avec bascule automatique
• Requêtes JSON assemblées manuellement, sans SDK, avec User-Agent Mozilla/5.0

Sorties générées :

• AI_Analysis.txt : dossier analytique avec section “WHAT THEY’RE WORTH” (valorisation des actifs par tier low/medium/high) et “THEIR OPSEC” (posture de sécurité et hygiène des mots de passe)
• Exfiltration en trois archives ZIP : volta_log.zip, volta_dox.zip, volta_doxnet.zip
• L’inférence LLM s’effectue entièrement depuis la machine et la connexion réseau de la victime

📦 Artefacts

• SHA256 : 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279
• Noms de fichiers : 9BY0tjwOc3ut.exe, yLP9m5J3i2Aw.exe
• Log de débogage : %APPDATA%\volta_debug.txt
• PE Timestamp : 2026-08-17 | First Seen : 2026-10-11

📰 Nature de l’article

Il s’agit d’une analyse technique publiée par Cisco Talos, visant à documenter une nouvelle tendance dans le crimeware : l’intégration de LLM comme couche analytique post-collecte pour décharger l’opérateur de tout travail de triage manuel.

🧠 TTPs et IOCs détectés

TTP

• T1555.003 — Credentials from Password Stores: Credentials from Web Browsers (Credential Access)
• T1539 — Steal Web Session Cookie (Credential Access)
• T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
• T1005 — Data from Local System (Collection)
• T1113 — Screen Capture (Collection)
• T1020 — Automated Exfiltration (Exfiltration)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)
• T1070.004 — Indicator Removal: File Deletion (Defense Evasion)
• T1560.001 — Archive Collected Data: Archive via Utility (Collection)
• T1528 — Steal Application Access Token (Credential Access)
• T1217 — Browser Information Discovery (Discovery)
• T1614 — System Location Discovery (Discovery)

IOC

• Domaines : openrouter.ai — VT · URLhaus · ThreatFox
• Domaines : rolimons.com — VT · URLhaus · ThreatFox
• URLs : https://openrouter.ai/api/v1/chat/completions — URLhaus
• SHA256 : 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279 — VT · MalwareBazaar
• Fichiers : 9BY0tjwOc3ut.exe
• Fichiers : yLP9m5J3i2Aw.exe
• Fichiers : Identity_Report.txt
• Fichiers : AI_Analysis.txt
• Fichiers : volta_dox.zip
• Fichiers : volta_log.zip
• Fichiers : volta_doxnet.zip
• Chemins : %APPDATA%\volta_debug.txt

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 31 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• VOLTA-AUTODOXER (stealer)

🟢 Indice de vérification factuelle : 83/100 (haute)

• ✅ blog.talosintelligence.com — source reconnue (liste interne) (20pts)
• ✅ 11812 chars — texte complet (fulltext extrait) (15pts)
• ✅ 12 IOCs dont des hashes (15pts)
• ✅ 1/4 IOC(s) confirmé(s) (MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (8pts)
• ✅ 12 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• 57ef4242666d78c5… (sha256) → VT (50/76 détections)

🔗 Source originale : https://blog.talosintelligence.com/appraisal-by-ai-model-driven-victim-prioritization-in-the-volta-infostealer/