Имплант CLOSEDQUORUM делегирует тактические решения коммерческим LLM
CLOSEDQUORUM, 64-разрядный имплант для Windows размером 16,4 МБ, написан на Go и делегирует тактические решения коммерческим большим языковым моделям. Проанализированный бинарный файл поддерживает DeepSeek, Qwen, Mistral и Google Gemini, а развёртывание импланта в реальных условиях не подтверждено.
Принятие решений с помощью языковых моделей
Имплант последовательно опрашивает до четырёх провайдеров. Модели получают сведения об узле, включая имя хоста, архитектуру операционной системы, количество процессоров, версию Windows, статус администратора и процесс, на который в данный момент нацелено вредоносное ПО. Ответы возвращаются в ограниченном формате JSON.
Имплант выбирает действие, которое модели рекомендовали чаще всего. При равенстве голосов решение принимается детерминированно, с учётом приоритета провайдеров:
- DeepSeek;
- Qwen;
- Mistral;
- Google Gemini.
Доступные решения включают:
steal, одновременное извлечение дампа LSASS, учётных данных из браузера и данных криптографических кошельков;inject, генерация шеллкода и выполнение внедрения в пустой процесс с использованием реализации обхода PEB либо раннего внедрения APC, в зависимости от выбранного типа внедрения;persist, обеспечение закрепления;move.
Для действия move в проанализированной сборке отсутствует обработчик. Информация о системе собирается на этапе инициализации.
Передача данных и особенности сборки
Украденные данные шифруются с помощью AES-256-GCM и передаются на контролируемый оператором Discord-webhook в виде содержимого, закодированного в base64. На тот же webhook имплант отправляет результаты принятия решений и телеметрию выполнения.
Проанализированный бинарный файл для распространения содержит плейсхолдеры для API-ключей и плейсхолдер для webhook. Это указывает на необходимость получения операторами кастомной сборки, в которую учётные данные и параметры webhook встраиваются на этапе компиляции. Такая архитектура исключает необходимость в выделенном C2-сервере, управляемом злоумышленником, или в постоянном ручном управлении задачами.
Потенциальные сигналы обнаружения
К потенциальным сигналам обнаружения относятся:
- неожиданный API-трафик от исполняемого файла Windows к нескольким провайдерам больших языковых моделей;
- структурированные запросы, содержащие контекст хоста или терминологию, связанную с наступательными возможностями;
- активность вебхуков Discord от того же процесса;
- одновременное использование доступа к LSASS, кражи учётных данных из браузера, внедрения кода в процессы или механизмов закрепления;
- повторное выполнение с интервалами от пяти до пятнадцати минут, варьирующимися случайным образом.
Последний признак также может указывать на автономный цикл принятия решений импланта.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
