Malware CLOSEDQUORUM faz ate quatro modelos de IA votarem no proximo passo do ataque no Windows
A Cisco Talos documentou o CLOSEDQUORUM, descrito como o primeiro implante Windows publicamente conhecido a delegar decisoes de comando e controle a um comite de ate quatro modelos de IA comerciais (DeepSeek, Qwen, Mistral e Gemini) em vez de um servidor de atacante fixo. Cada modelo vota entre roubar credenciais, injetar codigo, persistir no sistema ou se mover lateralmente, e o malware executa a acao mais votada. A amostra publica analisada tem chaves de API e webhooks preenchidos com valores falsos, portanto nao funciona de ponta a ponta -- e um prototipo, nao uma ameaca operacional confirmada em campanhas reais.
O mecanismo de decisao funciona assim: o malware coleta informacoes basicas da maquina infectada (nome, versao do Windows, se a sessao tem privilegios administrativos) e envia essa informacao para ate quatro servicos de IA comerciais, cada um com uma lista fixa de acoes possiveis para escolher. Cada resposta deve seguir um formato especifico -- se nao seguir, e descartada -- e o malware conta os votos validos, executando a acao com mais votos entre quatro opcoes: roubar (steal), injetar (inject), persistir (persist) ou mover lateralmente (move).
Quando 'steal' vence a votacao, o malware executa tres tarefas em paralelo: despeja a memoria do processo LSASS do Windows (que guarda credenciais em cache), copia senhas salvas dos navegadores Chrome, Edge e Firefox, e extrai dados de carteiras de criptomoedas como MetaMask, Exodus e carteiras Ethereum.
Usar modelos comerciais publicos como 'arbitro' de decisao operacional e um padrao de design ainda imaturo, mas conceitualmente relevante: desacopla a logica de decisao de uma infraestrutura de C2 tradicional e centralizada, o que dificulta deteccao e bloqueio baseados em endereco ou dominio de servidor fixo, ja que a 'inteligencia' de decisao passa a residir em servicos de IA legitimos e amplamente usados, dificeis de bloquear sem afetar trafego benigno.
A ressalva importante e que a amostra publica analisada pela Talos nao e funcional -- as chaves de API e os webhooks do Discord usados para exfiltrar dados estao preenchidos com valores fictícios, entao o malware nao consegue de fato consultar os modelos nem enviar dados roubados a um operador. Ainda assim, o caso e um sinal de que atacantes estao ativamente experimentando arquiteturas de malware que usam LLMs como camada de decisao descentralizada, algo que times de deteccao devem monitorar antes que surja uma variante operacional completa.