CLOSEDQUORUM: вредоносная программа передала управление атакой панели языковых моделей

До сих пор влияние ИИ на наступательные операции сводилось к скорости и масштабу. Фишинговые письма готовятся быстрее, вредоносные образцы плодятся десятками при меньших затратах. Человек при этом оставался в контуре: выбирал цели и вёл атаку. Третий эффект изучен заметно слабее. Речь о перераспределении усилий, когда целая фаза вторжения переходит от оператора к системе. Внимание человека ограничено, рабочий день конечен. Программа, принимающая решения самостоятельно, продолжает работу и тогда, когда её владелец спит.

{Исследование Cisco Talos показало, что архитектура образца строится на опросе сразу нескольких поставщиков больших языковых моделей. LLM - это системы, которые генерируют текст по запросу. Компания выложила в открытый доступ набор инструментов CAIRN для отслеживания вредоносных программ со встроенным ИИ, и описанный образец стал первой находкой в этой серии. Название отражает устройство программы: для принятия решения нужно минимальное число участников, а посторонние в голосовании не участвуют. До четырёх моделей получают описание заражённой машины и короткий перечень допустимых действий. Голоса подсчитываются, побеждает решение с большинством. При равенстве решает конкретная модель из списка. Такой порядок делает исход предсказуемым, зато отказ одного участника не срывает цикл.

Ответ модели подчинён жёсткому шаблону. Системная инструкция требует выдавать только исполняемые решения, а форма сводится к короткому набору команд. Всё, что не совпадает со схемой, отбрасывается. Программа хранит логику выбора. Вместе с отчётом о ходе атаки она уходит оператору в закрытый канал Discord. Наружу отправляются выбранное действие, обоснование модели, имя процесса-цели, способ обхода защиты и время. Перед первым запросом программа собирает сведения о машине: имя узла, версию Windows, число процессоров и права пользователя.

Набор возможностей знаком по другим вредоносным программам. Одна команда запускает три кражи сразу: извлечение учётных данных Windows из памяти системного процесса, выгрузку сохранённых паролей из Chrome, Edge и Firefox, а также содержимого криптокошельков MetaMask и Exodus. Вторая команда отвечает за внедрение в чужие процессы, причём с выбором между подменой процесса и запуском в приостановленном состоянии. Третья закрепляет программу в системе, чтобы она пережила перезагрузку. Команды перемещения по сети в публичной сборке нет.

Распространяется CLOSEDQUORUM не как обычная малварь, а как настраиваемый сервис. Разработчик собирает персональную версию под каждого оператора: доступы к сервисам моделей и адрес канала для отчётов вшиваются на этапе компиляции. Публично доступный файл неработоспособен, в нём вместо ключей стоят заглушки. Похищенное приходит оператору зашифрованным, причём ключ меняется каждый день и выводится из даты сообщения. Разработчик всегда знает дату, поэтому теоретически может прочитать чужой канал. Это маскировка, а не разделение доступа между заказчиком и исполнителем.

Для защитников главная сложность в отсутствии единой точки, которую можно заблокировать. Домена злоумышленника здесь нет. Вместо него - сочетание поведенческих признаков. Неожиданный исполняемый файл на Windows обращается к сервисам языковых моделей. За короткий интервал он стучится сразу к нескольким поставщикам. Тот же процесс читает память, где Windows хранит пароли, внедряется в другие программы и создаёт механизмы автозапуска. Добавляются обмен с Discord и повторные запуски каждые пять-пятнадцать минут. По отдельности такие события встречаются у легитимного софта, вместе - почти никогда. Поэтому разумнее опираться на поведение, а не на блокировку доменов.

Автономность не делает программу неуязвимой. Отказы моделей, ограничения на частоту запросов, некорректные ответы и зависимость от коммерческих сервисов превращаются в точки отказа. Каждая из них даёт защитнику зацепку. Простые меры тоже сохраняют смысл: обновление систем, двухфакторная аутентификация, контроль доступа к памяти критичных процессов. Отдельного внимания заслуживают серверы, где работают с платёжными данными и криптоактивами: именно там три кражи из набора дают злоумышленнику максимальную выгоду.

Пока перераспределение усилий затрагивает одну фазу вторжения и опирается на обычный доступ к коммерческим сервисам. Расширение на другие этапы сделает эффект заметнее, а автономные операции перестанут быть редкостью. Обороняющейся стороне это даёт открытое окно: изучить переход к самоуправляемым атакам, пока они остаются ограниченными и предсказуемыми, и подготовить средства обнаружения заранее.