CLOSEDQUORUM: มัลแวร์ Windows ให้ AI 4 ตัวโหวตคำสั่งเอง
น้องกายEngineering
ใช้ Windows เก็บรหัสผ่านเบราว์เซอร์หรือคริปโตวอลเล็ตอยู่ไหมครับ — เมื่อ 22 ก.ย. 2026 Cisco Talos เปิดงานวิจัย CAIRN และโชว์ตัวอย่างมัลแวร์ชื่อ CLOSEDQUORUM
ใจความจาก Talos และWIRED:
- เป็นไฟล์ Windows (Go, ~16.4 MB) ที่หลังติดเครื่องแล้ว ไม่ต้องมีคนคอยสั่งผ่านเซิร์ฟเวอร์ C2 แบบเดิม
- ถามโมเดลใหญ่สูงสุดสี่ตัว (DeepSeek, Qwen, Mistral, Google Gemini) ให้เลือกจากเมนูจำกัด เช่น steal / inject / persist แล้วเอาเสียงข้างมากไปทำ
- เป้าหมายที่โค้ดรองรับรวมถึงดึงข้อมูลจาก LSASS, รหัสผ่านเบราว์เซอร์ และวอลเล็ตคริปโต แล้วส่งออกผ่าน Discord webhook
- บิลด์ที่เผยแพร่สาธารณะยังเป็นเทมเพลต (API key / webhook เป็น dummy) — Talos ยังไม่ยืนยันว่ามีการโจมตีจริงใน wild แต่เชื่อม artifact กับโพสต์บนฟอรั่ม carding ย้อนไปปี 2025 ได้
- จุดตรวจจับที่ Talos เน้น: โปรเซสแปลกที่คุยกับ API ของหลาย LLM พร้อมพฤติกรรมแบบ credential theft / process injection
โพสต์นี้ไม่อธิบายวิธีสร้างหรือรันมัลแวร์ — มีแต่สิ่งที่ควรทำถ้าคุณดูแลเครื่อง Windows / เฝ้าระวังเครือข่าย
Recap
- อ่านสรุปจากCisco Talos
- อัปเดตแอนตี้ไวรัส / EDR และเปิดการแจ้งเตือนพฤติกรรม (LSASS access, Discord webhook จากโปรเซสแปลก)
- อย่าเก็บ seed phrase / รหัสผ่านสำคัญเฉพาะในเบราว์เซอร์บนเครื่องที่ใช้ทุกวัน
- ทีม SOC: ดูทราฟฟิกไปหลาย LLM API จากโฮสต์ที่ไม่ควรมี