Cisco Talos обнаружила Windows-имплант, который позволяет четырём LLM голосовать за его следующий шаг

22 сентября 2026 года Cisco Talos опубликовала исследование о CLOSEDQUORUM — Windows-импланте, который не ждёт указаний от атакующего. Запустившись, он описывает машину, на которой оказался, спрашивает у до четырёх коммерческих моделей ИИ, что делать дальше — DeepSeek, Qwen, Mistral и Google Gemini, — считает их ответы голосами и выполняет то из четырёх действий, которое победит. Talos называет его «по нашим сведениям, первым публично задокументированным Windows-имплантом, применяющим эту модель для тактического командования и управления». В том же сообщении говорится, что у Talos нет подтверждений, что имплант когда-либо развёртывался, а публично распространяемая копия не работает: его ключи API и вебхук для эксфильтрации являются заглушками. Сведений об ущербе для каких-либо пользователей не зафиксировано. Полная запись с источниками и оценкой серьёзности находится в архиве инцидентов с ИИ вместе с другими задокументированными находками об ИИ-оружии.

Что, по словам Talos, делает имплант

Образец, описанный Talos, — это 16,4-МБ 64-битный исполняемый файл Windows, написанный на Go с примесью C, чтобы напрямую вызывать системные функции Windows. Его новизна не в полезной нагрузке. А в том, что у импланта нет управляемого злоумышленником сервера, которому можно было бы «звонить домой». Вместо домена командования и управления он использует конечные точки API поставщиков больших языковых моделей — инфраструктуру, к которой ежедневно обращаются тысячи легитимных приложений и которую поэтому нельзя блокировать при первом обнаружении.

На каждом цикле подпрограмма собирает базовые сведения о хосте: его имя, версию и архитектуру Windows, количество процессоров и то, запущен ли имплант с правами администратора. Этот текст помещается в промпт и отправляется провайдерам по одному. Модели не просят писать прозу. Talos извлёк системный промпт из бинарного файла и приводит его: «Вы — продвинутый стратег по вредоносному ПО. Предоставляйте ТОЛЬКО исполняемые решения». Каждый ответ должен десериализоваться в типизированную структуру, в которой поле decision указывает на одно из четырёх действий, иначе он отбрасывается.

Четыре действия направляются к модулям возможностей, которые человек написал и скомпилировал в бинарный файл. steal запускает три процедуры сбора вместе: дамп памяти учетных данных Windows, сохраненные пароли браузера и файлы криптовалютных кошельков. inject выполняет код внутри другого процесса. persist обеспечивает повторный самостоятельный запуск импланта. move, вариант бокового перемещения, вообще не имеет обработчика в сборке, которую исследовала Talos, — модель может проголосовать за него, и ничего не произойдет.

Победившее решение публикуется в Discord webhook до его выполнения, поэтому оператор видит, как выбор панели и заявленное обоснование этого выбора поступают в чат-канал в режиме реального времени. Похищенные материалы отправляются в тот же канал, зашифрованные ключом, производным от текущей даты. Talos резко оценивает этот выбор: поскольку разработчик всегда знает дату, это «обфускация, а не настоящее разделение конфиденциальности между разработчиком и оператором».

Что установлено, а что — нет

Talos необычно явно обозначает эту границу, и стоит держать обе половины вместе. Статический анализ устанавливает сам цикл принятия решений: список провайдеров, порядок запросов, подсчёт голосов, типизированный ответ и маршрутизацию от победившего слова к возможности. Бинарный файл не был stripped, поэтому имена функций, выполняющих эту работу, читаются в файле. В сборках для разработки видно, что учётные данные провайдеров вшиваются на этапе компиляции.

Не установлено, что хоть что-то из этого когда-либо проходило полный цикл на реальной машине. Talos утверждает, что публичная сборка для распространения представляет собой «инертный шаблон»: каждый ключ API модели инициализируется строкой-заполнителем, вебхук инициализируется фиктивным адресом, а двоичный файл «неработоспособен в том виде, в каком распространяется». Talos говорит, что «не наблюдал полного сквозного выполнения архитектуры». Он также говорит в первом абзаце публикации, что у него нет подтверждений развертывания в реальных условиях.

То, что Talos действительно обнаружил вместе с кодом, было своего рода атрибуцией. Артефакты из бинарного файла связали его разработчика с сообщениями на криминальных форумах о кардинге — торговле украденными данными платёжных карт — датируемыми 2025 годом. В публикации не называется разработчик и не устанавливается, что разработчик проводил атаки с помощью этого инструмента. Вместо этого Talos оценивает эту вещь как продукт: разработчик компилирует кастомизированный исполняемый файл для каждого клиента со встроенными API-ключами и вебхуком этого клиента, а доставку берёт на себя клиент. Talos называет вероятную модель «credentials-as-a-service», где привлекательность заключается в слое оркестрации.

Ни один пострадавший, ни одна кампания и ни одно развёртывание нигде в этом не зафиксированы. Архив классифицирует запись как исследовательскую находку, а не как событие развёртывания, при этом реальный ущерб не зафиксирован — что является утверждением о том, что было задокументировано, а не заявлением о том, что ничего не произошло.

Тай-брейк, который подрывает слово «кворум»

Название вызывает образ четырёх моделей, которые совещаются, пока не придут к согласию. Реализация устроена свободнее. Победитель определяется относительным большинством, а не абсолютным: побеждает решение, названное наибольшим числом моделей, даже если это один голос из четырёх при разделении голосов на четыре варианта. Согласие не требуется.

Ничьи разрешаются без повторного запроса к кому-либо. Talos описывает цикл подсчёта как полностью детерминированный и смещённый в пользу DeepSeek: первым запрашивается DeepSeek, при сравнении сохраняется первое решение, достигшее максимального счёта, поэтому голос DeepSeek решает каждую ничью. Если DeepSeek недоступен, решающий голос переходит к Qwen, затем к Mistral, затем к Gemini. Защитник, знающий, какие провайдеры ответили, может предсказать исход разделения голосов, не прочитав ни одного ответа модели.

Есть второй, менее заметный факт о дизайне. Если каждая модель отказывается, не укладывается в тайм-аут или возвращает некорректный вывод, запасной вариант не является действием по умолчанию. Talos говорит, что решение о запасном варианте — это строка без соответствующего обработчика, поэтому цикл засыпает и повторяет попытку. Имплант создан так, чтобы ничего не делать, а не гадать.

Что слово «first» делает в этом предложении

Утверждение Talos уже, чем подразумевала большая часть освещения, и это сужение имеет значение. Компания заявляет о «первом публично задокументированном Windows-импланте, применяющем эту модель для тактического командования и управления», — а не о первом ИИ-вредоносе и не о первом вредоносе, использующем языковую модель. Новым объявлена сама форма делегирования: несколько коммерческих провайдеров опрашиваются как дублирующая панель принятия решений, выбирающая тактику на заражённом хосте.

Насчёт этой формулировки ведутся споры, и спор идёт о подаче, а не о технических выводах. Независимый брифинг, опубликованный в тот же день аналитиком P.K. Sharma, проверяет это утверждение и приходит к выводу, что узкое архитектурное утверждение согласуется с публичными данными, тогда как «более широкое впечатление, что это дебют вредоносного ПО, управляемого ИИ, — не подтверждается», — указывая на более ранние публичные случаи, когда вредоносное ПО обращалось к языковой модели во время выполнения, наиболее явно — LameHug, о котором украинская CERT-UA сообщила в июле 2025 года и которое использовало модель для генерации команд, а затем выполняло их. В такой трактовке в сентябре 2026 года изменилось то, что модели выбирают тактику, а не пишут команду.

Сам материал тоже попал под ту же критику. 23 сентября издание On the Wire отметило, что большинство отраслевых публикаций сохраняло вывод Talos и оговорку Talos вместе, но «один широко читаемый заголовок — нет», и отдельно указало на заголовок, утверждавший, что ИИ-вредоносное ПО исключило человека из цикла атаки, как на не подтверждённый исследованием, на котором он основан. Работа по инженерии обнаружения, опубликованная на Zenodo 7 октября, сформулировала то же ограничение в одной фразе: «Любое утверждение — это утверждение о конструкции, а не о компрометации».

Ни один из этих критиков не оспаривает то, что находится внутри бинарного файла. Архив также не фиксирует запись как оспариваемую. Разногласие заключается в том, насколько широкие выводы позволительно делать из скомпилированной возможности, которую никогда не видели работающей.

Компания, которая обнаружила это, также продаёт решение.

Одна деталь в раскрытии заслуживает того, чтобы сказать о ней прямо. CLOSEDQUORUM был выявлен с помощью CAIRN — собственного открытого инструментария Talos для поиска вредоносного ПО с интегрированным ИИ, выпущенного Talos в тот же день. Talos — подразделение Cisco, которая продает сетевые продукты и продукты для конечных точек, предназначенные для противодействия этому классу угроз. Правило Snort, выпущенное для этого семейства, 1:66984, является продуктом Cisco, и в его публичной документации правила известное использование помечено как «Attacks/Scans seen in the wild» — более категоричная формулировка, чем собственное утверждение исследовательской публикации о том, что развертывание в реальных условиях не подтверждено. Документация правила описывает, на что срабатывает правило, а не служит доказательством наличия жертвы, и эти два утверждения формально не противоречат друг другу; им придается разный вес. Читателю, оценивающему выводы поставщика, следует опираться на технические детали, которые можно проверить, а не на подачу, которую проверить нельзя.

Что защитникам говорят искать

Поскольку инфраструктура легитимна, блокировка доменов недоступна. Рекомендация Talos — поведенческая корреляция: ни один отдельный сигнал не идентифицирует имплант, но их сочетание — да. Список, который приводит Talos:

• API-трафик к провайдерам ИИ-моделей, исходящий от исполняемого файла Windows, у которого нет никаких причин его использовать

• Похожие запросы, отправленные нескольким провайдерам с небольшим интервалом из одного и того же процесса.

• Промпты, содержащие сведения о хосте или формулировки о наступательных возможностях, видимые только при TLS-инспекции или на стороне провайдера

• Внедрение в процесс, доступ к учетным данным в памяти или новое закрепление на том же хосте

• Трафик вебхуков Discord от этого процесса или хоста

• Выполнение повторяется через случайные интервалы от пяти до пятнадцати минут

Обоснование мультипровайдерного сигнала — наиболее универсальная часть находки. Легитимное ПО привязывается к одному провайдеру или переключается на второго, когда первый выдаёт ошибку. ПО, которое обращается к четырём и сравнивает ответы, делает что-то иное. Talos опубликовал правило YARA и правило Snort вместе с постом, а также шесть хешей SHA-256, охватывающих сборки примерно за неделю разработки. The Hacker News сообщил 23 сентября, что файл правил, поставляемый с CAIRN, сам по себе не содержал правила CLOSEDQUORUM, поэтому пользователям CAIRN приходилось добавлять правило Talos вручную; правило опубликовано в записи блога.

Что меняет раскрытие информации

О настоящем сказано очень мало, а кое-что — о ближайшем будущем. Talos прямо высказывается в своей оценке: CLOSEDQUORUM «лучше понимать не как изощрённую вредоносную программу, а как демонстрацию того, что архитектурный сдвиг в сторону автоматизации цепочек атак приближается». Возможности, которые он может задействовать, — это обычный инструментарий, применяемый после компрометации. Новое же в том, что выбор того, какая возможность будет использована следующей, переложен с оператора на коллегию голосующих коммерческих моделей, которая работает независимо от того, бодрствует ли кто-нибудь.

Talos называет это смещением усилий, и это утверждение о том, где находится фаза атаки, а не о том, насколько быстро она выполняется: оператор не становится быстрее, а устраняется от принятия решения. Тот же дизайн, отмечает Talos, даёт защитникам набор слабых мест, с которыми можно работать: провайдеры отказывают, ограничивают частоту запросов и возвращают некорректный вывод, пространство действий ограничено четырьмя словами, а разрешение ничьей предсказуемо. Автономность здесь обменивает человеческие ограничения на ограничения модели и инфраструктуры.

В материалах нет ничего, что говорит об использовании этого. Там говорится, что архитектура компилируется, что кто-то собрал её на продажу и что отличительная особенность достаточно различима снаружи, чтобы защитник мог подсчитать провайдеров на процесс. Это более скромное утверждение, чем в заголовках, и более полезное.