безпеки
«Перший» публічно задокументований імплантат Windows для використання магістрами для C2
Нове зловмисне програмне забезпечення для Windows під назвою CLOSEDQUORUM може вимагати від чотирьох постачальників LLM — Google Gemini, DeepSeek, Qwen і Mistral — вибрати з попередньо визначених посткомпрометованих дій, зокрема викрадення даних користувача та гаманців криптовалюти.
Згідно з Cisco Talos, після розгортання зловмисне програмне забезпечення не потребує постійних команд від людини-оператора, яке воно описує як перший публічно задокументований імплантат Windows, який використовує цей підхід командного керування (C2).
Talos виявив двійковий файл за допомогою свого нового пакету CAIRN (Cognitive Artifact Intelligence Research Network) для пошуку, класифікації та відстеження зловмисного програмного забезпечення на основі штучного інтелекту, який у вівторок магазин безпеки зробив доступним як сховище з відкритим вихідним кодом.
Хоча мисливці за загрозами не спостерігали жодного дикого розгортання CLOSEDQUORUM, вони сказали, що артефакти з бінарного файлу пов’язують розробника зловмисного програмного забезпечення з публікаціями 2025 року на форумах про злочини, пов’язані з ножами.
Після розгортання зловмисне програмне забезпечення на основі Go делегує свою наступну дію кворуму LLM для голосування за те, що робити далі. Якщо голоси однакові, перемагає DeepSeek, за ним йдуть Qwen, Mistral і Gemini.
“Сесія закрита; ніхто не прийде”, – сказав у вівторок аналітик Talos Раян Феттерман. «Чотири моделі опитуються по черзі, обчислюються їхні незалежні судження та бінарні дії на основі їхніх суджень».
Цей тип «розміщення зусиль», який переміщує одну фазу атаки від людини-оператора до систем штучного інтелекту, може поєднати переваги швидкості та масштабу атаки шляхом усунення людського бар’єру, додав Феттерман.
«Люди-оператори зв’язані увагою, робочим часом і когнітивним навантаженням», — написав він у вівторок у блозі. «Система штучного інтелекту, здатна виконати один етап ланцюжка атак, може продовжувати роботу, коли оператор більше не спостерігає. Вона не переходить в автономний режим, коли зловмисник спить».
Рішення моделей обмежуються попередньо визначеними діями, і вони повинні вибрати «ЛИШЕ дієві рішення», відповідно до системної підказки, отриманої дослідниками Talos від Binary. Кожній моделі написано: «Ви — передова стратегія зловмисного ПЗ».
А потім моделі вибирають, що робитиме зловмисне програмне забезпечення з цих модулів можливостей:
-
Злодій, який одночасно виконує команди для дампів пам’яті LSASS для даних Windows, краде захищені паролі браузерів у Google Chrome, Microsoft Edge і Mozilla Firefox, а також витягує інформацію про гаманець криптовалюти, включаючи MetaMask, Exodus і Ethereum.
-
Inject генерує шелл-код, а потім використовує порожній процес або ін’єкцію Early Bird для виконання шкідливого коду.
-
Persist встановлює постійність на зараженому пристрої.
Talos вважає, що розробник надасть кожному оператору спеціальний виконуваний файл, що містить ключі Webhook Discord і LLM API, які будуть включені під час компіляції.
Викрадені облікові дані публікуються на каналі Discord оператора та зашифровані AES-256-GCM за допомогою ключа щоденної ротації, який оператор отримує з позначки часу повідомлення.
За словами Феттермана, «найкориснішою стратегією виявлення» є розгляд поведінкових характеристик, а не блокування домену.
«Законні додатки можуть самостійно зв’язуватися з DeepSeek, OpenRouter, Mistral, Gemini або Discord», — сказав він. «Менше потрібно зв’язуватися з декількома, а також під час доступу до LSASS, впровадження призупинених процесів або створення стійкості WMI».®
