تصمیم‌های از پیش تعیین‌شده در ClosedQuorum
پژوهشگران سیسکو تالوس(Cisco Talos) در بررسی ClosedQuorum دریافتند که مدل‌های هوش مصنوعی این بدافزار تنها می‌توانند از میان مجموعه‌ای از اقدامات از پیش تعریف‌شده، گزینه بعدی را انتخاب کنند. این اقدامات شامل موارد زیر است:
- سرقت(steal) : اجرای هم‌زمان فرآیند استخراج اعتبارنامه‌های LSASS، سرقت اعتبارنامه‌های ذخیره‌شده در مرورگرهای کروم، اج (Edge) و فایرفاکس و استخراج داده‌های کیف‌پول‌های رمزارزی مانند متامسک (MetaMask)، اگزودوس (Exodus) و داده‌های مرتبط با اتریوم.
- تزریق (Inject): تولید شِل‌کد (Shellcode) و اجرای آن از طریق یکی از تکنیک‌های خالی‌سازی پردازه (Process Hollowing) یا تزریق APC از نوع Early Bird (Early Bird APC Injection).
- پایداری(persist): اجرای ماژول ایجاد پایداری (Persistence) بدافزار برای حفظ دسترسی به سیستم آلوده.
- حرکت (Move): این گزینه برای انجام حرکت جانبی (Lateral Movement) در نظر گرفته شده است؛ بااین‌حال، نسخه مورد بررسی فاقد ماژول مدیریت (Handler) این قابلیت است و بنابراین امکان اجرای حرکت جانبی را ندارد.
پس از سرقت اطلاعات، داده‌های جمع‌آوری‌شده از طریق یک وب‌هوک دیسکورد (Discord Webhook) برای اپراتورها ارسال می‌شوند. در نتیجه، به‌جز مرحله توزیع بدافزار، سایر مراحل حمله می‌توانند بدون دخالت مستقیم اپراتور و به‌صورت خودکار انجام شوند.
محدودیت‌های معماری مبتنی بر هوش مصنوعی
پژوهشگران تالوس، ClosedQuorum را نخستین ایمپلنت (Implant) ویندوزی می‌دانند که به‌صورت عمومی مستندسازی شده و بخشی از تصمیم‌گیری‌های تاکتیکی مربوط به فرماندهی و کنترل (C2) را به مجموعه‌ای از مدل‌های هوش مصنوعی واگذار می‌کند. به گفته پژوهشگران، این معماری می‌تواند سرعت اجرای عملیات مخرب و امکان اجرای آن‌ها در مقیاس گسترده‌تر را افزایش دهد.
یکی از مهم‌ترین پیامدهای این رویکرد، کاهش نیاز به تعامل مداوم اپراتور انسانی است. در این شرایط، زنجیره حمله می‌تواند بدون نیاز به دریافت دستور جدید از اپراتور و در هر زمان ادامه پیدا کند. در نتیجه، بخشی از تصمیم‌گیری‌های لازم در مراحل پس از نفوذ نیز به‌صورت خودکار انجام می‌شود.
بااین‌حال، وابستگی ClosedQuorum به سرویس‌های هوش مصنوعی می‌تواند اجرای حمله را با محدودیت‌هایی مواجه کند. برای مثال، اگر تعداد درخواست‌های ارسالی به سرویس از حد مجاز عبور کند، مدل هوش مصنوعی پاسخ نامعتبر ارائه دهد یا رابط‌های برنامه‌نویسی کاربردی تجاری (Commercial APIs) موقتاً در دسترس نباشند، روند اجرای حمله ممکن است متوقف یا مختل شود.
از سوی دیگر، این بدافزار از نظر فنی چندان پیچیده نبوده و هنوز مشخص نیست نمونه مورد بررسی صرفاً یک ابزار آزمایشی بوده یا برای استفاده عملی توسعه یافته است. با وجود این، پژوهشگران این بدافزار را نشانه‌ای از تغییر رویکرد در معماری بدافزارها و حرکت به سمت خودکارسازی زنجیره حمله می‌دانند؛ رویکردی که می‌تواند هوش مصنوعی را از یک ابزار کمکی به بخشی از فرآیند تصمیم‌گیری در جریان حمله تبدیل کند.
ارتباط ClosedQuorum با فعالیت‌های مجرمانه
پژوهشگران تأکید می‌کنند که تاکنون شواهدی از استفاده ClosedQuorum در حملات واقعی به دست نیامده است. بااین‌حال، بررسی فایل باینری این بدافزار نشان داده است که نام توسعه‌دهنده آن در پست‌هایی از انجمن‌های مجرمانه مرتبط با کاردینگ (Carding) در سال 2025 مشاهده شده است.
همچنین فایل باینری بررسی‌شده حاوی اعتبارنامه‌های آزمایشی API و یک وب‌هوک آزمایشی دیسکورد است. با وجود این، توسعه‌دهندگان می‌توانند در نسخه‌های سفارشی، این مقادیر را با اعتبارنامه‌ها و وب‌هوک‌های واقعی جایگزین کنند و نمونه را برای استفاده عملی آماده سازند.
سیسکو تالوس این بدافزار را با استفاده از CAIRN شناسایی کرد؛ یک ابزار متن‌باز برای ردیابی و تحلیل بدافزارهایی که از قابلیت‌های هوش مصنوعی استفاده می‌کنند. پژوهشگران با کمک CAIRN می‌توانند بدافزارهایی را شناسایی و بررسی کنند که در فعالیت‌های مخرب خود از مدل‌های هوش مصنوعی استفاده می‌کنند.
