Nieuw Windows-malware maakt gebruik van AI voor autonome beslissingen

Een nieuwe Windows-malware, genaamd ClosedQuorum, gebruikt AI-modellen zoals Google Gemini, DeepSeek, Qwen en Mistral om zelfstandig beslissingen te nemen tijdens de voortgang van een cyberaanval.

Deze malware, geschreven in Go, opereert zonder menselijke inmenging. Op basis van verkregen informatie en een stemsysteem bepaalt het zelf de volgende stap op geïnfecteerde systemen.

Wanneer stemmen gelijk opgaan, heeft DeepSeek voorrang om de definitieve beslissing te maken, gevolgd door Qwen, Mistral en Gemini.

Onderzoekers van Cisco Talos hebben geanalyseerd dat de modellen gelimiteerd zijn tot vooraf vastgestelde acties, waaronder:

• stelen — simultaan stelen van wachtwoorden uit LSASS, browsers en cryptowallets.
• injecteer — genereert shellcode en gebruikt proces-gehouwen of Early Bird APC-injectie.
• volhouden — voert de persistente module van de malware uit.
• verplaatsen — hoewel dit mogelijk is, bevat de huidige distributie geen uitvoerbare handler hiervoor.

De gestolen gegevens worden via een Discord-webhook naar de bedieners gestuurd, waardoor het hele aanvalsscenario volledig kan worden geautomatiseerd.

ClosedQuorum: Overzicht van het aanvalssysteem

Cisco Talos beschrijft ClosedQuorum als de eerste bekende Windows-malware die tactische beslissingen overlaat aan AI-modellen. Dit versnelt en vergroot de schaalbaarheid van kwaadaardige activiteiten.

Door de eliminatie van menselijke interactie kan de aanvalsketen continu doorgaan. Wel kan dit uitdagingen opleveren wanneer er bijvoorbeeld limieten worden bereikt of API’s tijdelijk onbeschikbaar zijn.

Hoewel het geen geavanceerd stuk malware is, blijft onduidelijk of ClosedQuorum slechts een test is. Toch wijzen de onderzoekers op een "architecturale verschuiving naar automatisering van aanvallen."

“Hoewel er geen bevestiging is van wijdverbreide verspreiding, verbinden artefacten uit de binaire code de ontwikkelaar met fora gerelateerd aan cybercriminaliteit, daterend uit 2025,” legt Cisco Talos uit.

De door Cisco Talos geanalyseerde binaire code bevat tijdelijke API-referenties en een nep-Discord-webhook, die makers in hun aangepaste versies van ClosedQuorum kunnen toevoegen.

Cisco Talos ontdekte ClosedQuorum via CAIRN, een open-source tool voor het opsporen en analyseren van AI-geïntegreerde malware.

Doe mee aan een digitale top

Sluit aan bij Mikko Hyppönen en beveiligingsleiders van onder andere de NFL en CHANEL voor een digitale top van twee uur. Ontdek hoe AI-snelheid aanvallen verandert en hoe verdedigers hierop kunnen inspelen. Reserveer je plek vandaag nog!

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.