Вредоносной программе больше не обязательно ждать команд от оператора. Cisco Talos обнаружила CLOSEDQUORUM, Windows-имплант, который передаёт тактические решения сразу нескольким ИИ-моделям, собирает их ответы и самостоятельно выбирает следующий шаг атаки.
CLOSEDQUORUM представляет собой 64-битный файл размером 16,4 МБ, написанный на Go. Главное отличие от привычной C2-архитектуры заключается в отсутствии постоянного управляющего сервера, который диктует заражённой машине действия. Вместо него имплант обращается к DeepSeek, Qwen, Mistral и Google Gemini через обычные программные интерфейсы.
Перед каждым раундом CLOSEDQUORUM собирает сведения о компьютере, включая имя хоста, версию Windows, архитектуру системы, число процессоров и наличие прав администратора. Затем имплант передаёт контекст ИИ-моделям и просит выбрать одно из четырёх действий: украсть данные, внедрить код в процесс, закрепиться в системе или переместиться дальше.
Ответы моделей подсчитываются как голоса. Побеждает вариант, набравший большинство. При равенстве DeepSeek фактически получает решающий голос, поскольку программа проверяет ответы в фиксированной последовательности. Схема выглядит заметно автономнее уже известных сценариев, где кража данных LSASS запускается заранее прописанной командой человека.
Если модели выбирают кражу, имплант одновременно пытается извлечь учётные данные Windows из LSASS, сохранённые пароли Chrome, Edge и Firefox, а также данные криптокошельков MetaMask, Exodus и Ethereum. Другие варианты позволяют генерировать вредоносный код для внедрения в процессы или создавать механизмы закрепления. Решения моделей и телеметрия отправляются оператору через Discord, туда же могут уходить украденные данные после шифрования AES-256-GCM.
Подход развивает уже заметную тенденцию. В августе Cisco Talos описала китайскоязычную группировку UAT-10147, у которой ИИ-ассистент помогал искать уязвимости, готовить средства эксплуатации и диагностировать ошибки. CLOSEDQUORUM переносит автоматизацию глубже внутрь самого вредоносного кода и позволяет импланту продолжать отдельный этап атаки без постоянного участия оператора.
При этом речь пока не идёт о подтверждённой массовой угрозе. В анализе CLOSEDQUORUM Talos прямо указывает, что применения импланта в реальных атаках не подтверждено. Публичная сборка содержит заглушки вместо рабочих API-ключей и адреса Discord. Артефакты разработки, однако, указывают на возможность собирать отдельный настроенный файл для каждого оператора. Исследователи также связали разработчика с публикациями о кардинге на криминальных форумах, появлявшимися с 2025 года.
Схожий переход к автономности уже наблюдался летом, когда злоумышленник подключил DeepSeek к Hermes Agent. Нейросеть сама искала цели, выбирала уязвимости и запускала готовые средства эксплуатации, хотя значительная часть попыток закончилась неудачей.
Другие исследования показывают тот же сдвиг на уровне всей цепочки атаки. В июле специалисты Check Point обнаружили операции, где ИИ выполнял задачи от поиска слабых мест до перемещения по сети. CLOSEDQUORUM добавляет к этой картине ещё один вариант, когда решение принимает уже не внешний агент, а несколько коммерческих моделей, встроенных непосредственно в логику вредоносного импланта.
