Специалисты Cisco Talos обнаружили вредоносную программу CLOSEDQUORUM для Windows. Вирус, написанный на языке Go, после заражения системы обращается за инструкциями к четырем языковым моделям: Google Gemini, DeepSeek, Alibaba Qwen и Mistral.
Программа работает автономно, делегируя выбор действий «кворуму» ИИ. При равенстве голосов приоритет имеет DeepSeek, затем следуют Qwen, Mistral и Gemini. Такой подход позволяет вирусу действовать без участия человека, не ограничиваясь рабочим временем оператора.
Вредонос способен захватывать дамп памяти процесса LSASS, красть пароли из браузеров и данные из криптовалютных кошельков. Он маскируется под легитимные процессы и закрепляется в системе. Разработчик предоставляет каждому заказчику уникальную версию с личными API-ключами.
Украденные данные передаются в Discord-канал злоумышленника в зашифрованном виде по алгоритму AES-256-GCM с ежедневно меняющимся ключом. Эксперты советуют выявлять вторжение через поведенческий анализ: подозрительными считаются обращения к ИИ одновременно с попытками доступа к LSASS.
