Wprowadzenie do problemu / definicja
ClosedQuorum to nowo opisane złośliwe oprogramowanie dla systemu Windows, które zwraca uwagę nietypowym podejściem do realizacji działań po uzyskaniu dostępu do hosta. Zamiast polegać wyłącznie na sztywno zapisanej logice lub ciągłych poleceniach operatora, malware wykorzystuje zestaw modeli sztucznej inteligencji do wyboru kolejnych kroków ataku na podstawie lokalnego kontekstu systemu.
To ważny sygnał dla branży cyberbezpieczeństwa, ponieważ pokazuje przejście od klasycznych, ręcznie sterowanych kampanii do bardziej autonomicznych łańcuchów post-exploitation. W praktyce może to oznaczać szybsze działanie atakujących, większą skalowalność operacji oraz trudniejsze wykrywanie aktywności na wczesnym etapie incydentu.
W skrócie
ClosedQuorum jest malware napisanym w języku Go i przeznaczonym dla systemu Windows. Po uruchomieniu zbiera dane rozpoznawcze z hosta, a następnie przekazuje je do kilku modeli AI, które wybierają jedną z predefiniowanych akcji.
- kradzież poświadczeń i danych z pamięci oraz przeglądarek,
- ekstrakcja danych z portfeli kryptowalutowych,
- uruchamianie mechanizmów persystencji,
- generowanie i wykonywanie shellcode z użyciem technik iniekcji kodu,
- przesyłanie zebranych danych do operatorów przez webhook Discorda.
Choć nie potwierdzono jeszcze szerokiego wykorzystania tej próbki w realnych kampaniach, sama architektura działania stanowi istotny przykład rosnącej automatyzacji narzędzi ofensywnych.
Kontekst / historia
ClosedQuorum jest opisywany jako jeden z pierwszych publicznie udokumentowanych implantów dla Windows, który deleguje decyzje taktyczne do zestawu modeli AI. To odróżnia go od tradycyjnego malware, gdzie kolejne etapy działania są najczęściej zakodowane na stałe albo wydawane bezpośrednio z infrastruktury command-and-control.
Trend ten wpisuje się w szerszy kierunek łączenia cyberprzestępczych narzędzi z usługami opartymi na modelach językowych. Nawet jeśli obecna implementacja wygląda częściowo eksperymentalnie, sam fakt przenoszenia elementów decyzyjnych do warstwy AI ma duże znaczenie dla obrońców. Oznacza bowiem możliwość budowania ataków, które szybciej dopasowują technikę do warunków panujących na zainfekowanym urządzeniu.
Analiza techniczna
Po uruchomieniu ClosedQuorum zbiera informacje rozpoznawcze z systemu i wykorzystuje je jako kontekst do wyboru dalszego działania. Według opisu próbka korzysta z kilku modeli AI, w tym Gemini, DeepSeek, Qwen i Mistral. Mechanizm podejmowania decyzji przypomina głosowanie, a w przypadku remisu obowiązuje ustalona kolejność priorytetów rozstrzygających.
Modele nie działają jednak całkowicie swobodnie. Ich zadaniem nie jest tworzenie dowolnego planu ataku, lecz wybór spośród wcześniej przygotowanego zestawu opcji dostępnych w kodzie malware. Taka konstrukcja zmniejsza nieprzewidywalność działania i pozwala operatorom zachować kontrolę nad zakresem funkcji.
W analizowanym wariancie uwzględniono między innymi:
- dumping poświadczeń z pamięci LSASS,
- kradzież danych logowania z przeglądarek Chrome, Edge i Firefox,
- ekstrakcję danych z wybranych portfeli kryptowalutowych,
- uruchomienie modułów persystencji,
- wygenerowanie shellcode i iniekcję z użyciem process hollowing lub Early Bird APC.
W kodzie przewidziano również możliwość ruchu lateralnego, ale w analizowanym buildzie nie wdrożono pełnej obsługi tego scenariusza. Może to sugerować, że projekt jest rozwijany etapami albo służył do testowania architektury przed dodaniem kolejnych modułów.
Istotnym elementem operacyjnym jest także sposób komunikacji z operatorami. Malware ma przesyłać zebrane dane z wykorzystaniem webhooka Discorda, co upraszcza exfiltrację i ogranicza potrzebę utrzymywania klasycznej infrastruktury C2. Jednocześnie taka konstrukcja pozostaje zależna od zewnętrznych usług i API, co może powodować problemy związane z limitami zapytań, błędami odpowiedzi lub czasową niedostępnością usług.
Konsekwencje / ryzyko
Największe ryzyko związane z ClosedQuorum nie wynika wyłącznie z listy jego funkcji, lecz z modelu działania. Automatyczne podejmowanie decyzji po kompromitacji może znacząco skrócić czas między uzyskaniem dostępu a wykonaniem takich działań jak kradzież poświadczeń, persystencja czy ukrycie złośliwego procesu.
Z perspektywy zespołów SOC oznacza to mniejsze okno czasowe na reakcję. Jeżeli implant sam wybiera najkorzystniejszy wariant działania na podstawie danych z hosta, detekcja oparta tylko na znanych rodzinach malware lub statycznych wskaźnikach może okazać się niewystarczająca.
Drugim ważnym aspektem jest skalowalność. Tego rodzaju automatyzacja pozwala prowadzić większą liczbę równoległych operacji przy mniejszym zaangażowaniu operatorów. Nawet jeśli obecna próbka sprawia wrażenie częściowo eksperymentalnej, podobne rozwiązania mogą zostać szybko połączone z loaderami, infostealerami lub bardziej dojrzałymi frameworkami dostępowymi.
Trzecim problemem jest utrudnione profilowanie zagrożenia. Jeśli ścieżka wykonania różni się między infekcjami w zależności od lokalnego kontekstu i wyniku głosowania modeli, budowanie stabilnych detekcji opartych wyłącznie na sekwencjach działań staje się trudniejsze.
Rekomendacje
Organizacje powinny traktować ClosedQuorum jako zapowiedź kolejnego etapu automatyzacji malware. Obronę warto oprzeć przede wszystkim na telemetrii behawioralnej, monitorowaniu procesów oraz analizie technik post-exploitation, a nie tylko na sygnaturach.
- monitorować próby dostępu do pamięci LSASS i inne techniki credential access,
- wdrażać detekcje process hollowing, Early Bird APC oraz niestandardowych metod iniekcji kodu,
- zwracać uwagę na binaria napisane w Go wykazujące funkcje kradzieży danych lub nietypowej komunikacji wychodzącej,
- stosować application control w celu ograniczenia uruchamiania nieautoryzowanych plików wykonywalnych,
- korzystać z EDR lub XDR z regułami behawioralnymi,
- segmentować sieć i ograniczać uprawnienia lokalne użytkowników,
- wzmacniać ochronę przeglądarek, magazynów haseł i kont za pomocą MFA,
- monitorować ruch wychodzący do usług komunikacyjnych i webhooków wykorzystywanych do exfiltracji danych.
Zespoły bezpieczeństwa powinny również aktualizować modele zagrożeń o scenariusze, w których malware działa szybciej i bardziej adaptacyjnie niż tradycyjne implanty. W praktyce najważniejsze staje się wykrywanie technik i skutków działania, niezależnie od tego, czy decyzję o ich użyciu podjął człowiek, czy warstwa AI.
Podsumowanie
ClosedQuorum pokazuje, że wykorzystanie modeli AI w cyberatakach przestaje być jedynie koncepcją teoretyczną. Opisana próbka deleguje wybór kolejnych kroków do zestawu modeli, które działają w ramach z góry określonego katalogu decyzji i wspierają automatyzację działań po kompromitacji systemu.
Nawet jeśli obecna implementacja ma jeszcze cechy rozwiązania eksperymentalnego, kierunek rozwoju jest wyraźny. Malware staje się bardziej autonomiczne, szybsze i potencjalnie łatwiejsze do skalowania, co zwiększa znaczenie detekcji behawioralnej, widoczności działań na hoście i gotowości na bardziej adaptacyjne kampanie atakujących.