Специалисты Cisco Talos обнаружили новый тип вредоносного ПО для Windows под названием CLOSEDQUORUM. В отличие от предыдущих инструментов, использующих ИИ лишь для написания кода или фишинга, эта программа встраивает большие языковые модели непосредственно в систему управления, позволяя им самостоятельно принимать решения.
Вредоносное ПО взаимодействует с четырьмя моделями: DeepSeek, Qwen, Mistral и Google Gemini. Программа отправляет запросы к этим сервисам и на основе полученных ответов планирует дальнейшие действия. Такой подход обеспечивает избыточность: если один ИИ-сервис недоступен, программа продолжает работу через другие модели.
В коде CLOSEDQUORUM отсутствуют традиционные каналы удаленного управления. Основными целями программы являются кража паролей и криптовалютных активов. Исследователи связывают этот софт с активностью по краже данных кредитных карт, зафиксированной в 2025 году, однако личности разработчиков пока не установлены.
Для отслеживания подобных угроз команда Cisco Talos создала фреймворк CAIRN. Система анализирует метаданные и технические следы, которые оставляет ИИ при интеграции в атаки. Это позволяет экспертам классифицировать вредоносные образцы и выявлять новые методы кибератак, где нейросети становятся частью инфраструктуры.
