Новый Windows-малварь ClosedQuorum использует ИИ для принятия решений при атаке

Специалисты по информационной безопасности зафиксировали появление нового семейства вредоносного ПО для Windows, получившего название ClosedQuorum. Его ключевая особенность заключается в интеграции с большими языковыми моделями (LLM) — Google Gemini, DeepSeek, Qwen и Mistral AI, — которые малварь использует для автономного принятия решений на этапах, следующих за первоначальной компрометацией системы. Это знаменует качественно новый уровень автоматизации кибератак: вредоносный код перестаёт быть просто набором заранее запрограммированных действий и превращается в самообучающегося агента, способного адаптироваться к среде жертвы.

Подробности

Согласно опубликованным данным, ClosedQuorum после закрепления в системе обращается к внешним API упомянутых ИИ-моделей, передавая им контекст заражённой среды — сведения о конфигурации, установленном ПО, доступных привилегиях и сетевой топологии. На основе ответов моделей малварь определяет, какие действия предпринять дальше: повышение привилегий, горизонтальное перемещение по сети, сбор конфиденциальных данных или развёртывание дополнительных полезных нагрузок. Подобная архитектура позволяет вредоносному ПО гибко менять тактику в зависимости от конкретной инфраструктуры, что затрудняет обнаружение сигнатурными методами и поведенческими эвристиками, рассчитанными на типовые сценарии. Отмечается, что использование сразу нескольких ИИ-провайдеров повышает отказоустойчивость атаки: при недоступности одного сервиса малварь переключается на другой. Точные технические индикаторы компрометации, перечень CVE и затронутые версии Windows в исходном сообщении не раскрываются.

Что делать

Для снижения рисков специалисты рекомендуют придерживаться проверенных практик защиты. В первую очередь необходимо ограничить исходящий сетевой трафик: заблокировать на периметре и конечных точках обращения к несанкционированным внешним API, включая эндпоинты публичных LLM-сервисов, если их использование не предусмотрено корпоративной политикой. Следует внедрить мониторинг аномальных сетевых соединений от рабочих станций и серверов, особенно исходящих запросов к незнакомым доменам. Целесообразно усилить контроль привилегий по принципу наименьших прав, включить MFA для всех критичных учётных записей и обеспечить своевременную установку обновлений безопасности Windows и используемого ПО. Также важно настроить EDR-решения на детектирование подозрительной активности процессов, взаимодействующих с внешними API, и провести обучение сотрудников по распознаванию фишинговых атак — наиболее вероятного вектора первичного проникновения. Появление ClosedQuorum демонстрирует, что злоумышленники активно перенимают инструменты генеративного ИИ, превращая малварь в адаптивного противника. Организациям стоит пересмотреть модели угроз с учётом этого тренда и сместить акцент с сигнатурного обнаружения на поведенческий анализ и строгий контроль сетевых взаимодействий.

Источник: BleepingComputer