New ClosedQuorum Windows malware uses AI for attack decisions

ClosedQuorum : L’émergence des malwares autonomes pilotés par IA

Le malware Windows « ClosedQuorum » marque une évolution majeure dans le paysage des menaces en déléguant ses décisions tactiques à un système de vote basé sur plusieurs modèles d’intelligence artificielle (Google Gemini, DeepSeek, Qwen et Mistral). Développé en Go, ce logiciel malveillant fonctionne de manière autonome, sans intervention humaine, pour automatiser les phases post-compromission.

Points clés

• Prise de décision par IA : En cas d’égalité lors du vote des modèles, DeepSeek possède la priorité décisionnelle.
• Automatisation complète : Le malware exécute des tâches prédéfinies (vol de données, injection de code, persistance) et transmet les informations exfiltrées via des webhooks Discord.
• Architecture modulaire : Bien que capable d’effectuer des mouvements latéraux, cette fonctionnalité n’est pas encore implémentée dans les versions analysées.
• Détection : Identifié par Cisco Talos via l’outil de recherche CAIRN, il représente un changement d’approche vers l’automatisation intégrale de la chaîne d’attaque.

Vulnérabilités exploitées

• Aucune CVE spécifique n’est citée. Le malware exploite des techniques classiques de post-compromission :
  • LSASS Dumping : Extraction de jetons d’identification en mémoire.
  • Vol de données d’identification : Ciblage des navigateurs (Chrome, Edge, Firefox) et des portefeuilles de cryptomonnaies.
  • Injection de code : Utilisation du process hollowing et de l’injection APC (Early Bird) pour dissimuler ses activités.

Recommandations

• Surveillance du trafic réseau : Bloquer ou inspecter les communications sortantes vers les services tiers, notamment les webhooks Discord, souvent utilisés pour l’exfiltration automatique.
• Protection des processus sensibles : Renforcer la surveillance sur l’accès au processus lsass.exe et restreindre les privilèges des utilisateurs pour limiter l’impact du vol d’identifiants.
• Analyse comportementale : Mettre en place des solutions EDR capables de détecter les comportements d’injection de code et les tentatives de persistance inhabituelles, plutôt que de se baser uniquement sur des signatures statiques.
• Veille sur les outils IA : Utiliser des frameworks de recherche comme CAIRN pour identifier les traces d’implants intégrant des API de modèles de langage (LLM).

Source