پژوهشگران Cisco Talos یک بدافزار جدید برای سیستم‌عامل ویندوز به نام ClosedQuorum شناسایی کرده‌اند که از چندین مدل زبانی بزرگ (LLM) برای تصمیم‌گیری و اجرای خودکار مراحل حمله استفاده می‌کند. این بدافزار در واقع اولین نمونه شناسایی شده‌ای است که در آن ساختار فرماندهی و کنترل (C2) به صورت خودکار (Autonomous) طراحی شده است.
مکانیزم عملکرد و معماری C2
برخلاف معماری‌های سنتی C2 که در آن‌ها مهاجم از سرورهای اختصاصی، دامنه‌ها و IPهای خاص برای هدایت بدافزار استفاده می‌کند، ClosedQuorum از APIهای تجاری مدل‌های زبانی مختلف از جمله DeepSeek، Qwen، Mistral و Google Gemini بهره می‌برد. این بدافزار برای تعیین گام بعدی حمله، از هر چهار مدل استعلام می‌گیرد و از طریق یک سیستم «رأی‌گیری اکثریت» (Plurality Voting)، تصمیم نهایی را اتخاذ می‌کند. در صورت تساوی آرا، رأی مدل DeepSeek تعیین‌کننده است.
اهداف و قابلیت‌های عملیاتی
هدف نهایی این بدافزار استخراج اطلاعات حساس کاربران (Credentials) و کیف پول‌های رمز ارز است. تصمیماتی که توسط مدل‌های AI گرفته می‌شوند شامل موارد زیر است:
- Steal: اجرای همزمان سه تابع برای سرقت داده‌ها و اعتبارنامه‌ها.
- Inject: تولید کد مخرب و تزریق آن به فرآیندهای دیگر (Process Injection) برای پنهان‌سازی.
- Persist: ایجاد تداوم در سیستم (Persistence) برای بقای بدافزار پس از ری‌بوت.
- Move: جابجایی در شبکه (که در نمونه‌های تحلیل شده هنوز فعال نبود).
چالش‌های شناسایی و دفاع
استفاده از APIهای تجاری به جای سرورهای C2 اختصاصی، شناسایی بدافزار را دشوارتر می‌کند زیرا ترافیک شبکه به سمت سرویس‌های معتبری می‌رود که هزاران برنامه قانونی هر روز از آن‌ها استفاده می‌کنند. با این حال، پژوهشگران تأکید می‌کنند که استراتژی شناسایی باید از «مسدود کردن دامنه» به «تحلیل رفتاری» (Behavioral Analysis) تغییر کند.
به عنوان مثال، ارتباط یک برنامه با چندین مدل زبانی مختلف در حالی که همزمان سعی در دسترسی به LSASS، تزریق کد در فرآیندهای متوقف شده یا ایجاد WMI Persistence دارد، یک سیگنال امنیتی بسیار قوی و مشکوک است.
ارزیابی نهایی
اگرچه هنوز شواهدی از به‌کارگیری گسترده ClosedQuorum در حملات واقعی (In the wild) یافت نشده است، اما این بدافزار نشان‌دهنده تغییری در استراتژی مهاجمان است؛ جایی که بخش‌های بزرگی از زنجیره حمله (Attack Chain) بدون دخالت مستقیم اپراتور انسانی و با سرعت و مقیاس AI اجرا می‌شوند.
