Cisco Talos, 22 Eylül 2026’da CLOSEDQUORUM adını verdiği bir Windows implantını kamuoyuna açıkladı. Araştırmacılara göre bu örnek, taktik komuta-kontrol (C2) kararını insan operatöre veya klasik C2 sunucusuna bırakmak yerine dört ticari büyük dil modeline (LLM) soran ve çoğunluk oyuyla sonraki eylemi seçen, kamuya belgelenen ilk mimari örneklerden biri.
Talos’un yazdığına göre implant DeepSeek, Qwen, Mistral ve Google Gemini uçlarını sırayla sorguluyor; yanıtlar çoğunluk oylamasıyla birleştiriliyor. Karar seçenekleri kısıtlı bir JSON şemasına bağlı: örneğin steal, inject ve persist. Hedeflenen yetenekler arasında LSASS bellek dökümü, tarayıcı kayıtlı parolaları ve kripto cüzdan dosyalarının toplanması ile Discord webhook üzerinden dışarı aktarım yer alıyor.
Ne doğrulandı, ne doğrulanmadı: Talos, statik analizle karar döngüsünü ve geliştirme derlemelerindeki sağlayıcı anahtarı enjeksiyonunu doğruladığını yazıyor. Kamuya dağıtılan örnekte yer tutucu API anahtarları ve sahte webhook bulunduğu için uçtan uca canlı çalıştırma gözlenmedi. Sahada aktif bir kampanya teyidi yok; örnek, karting tartışmaları olan suç forumlarına bağlanan geliştirici izleriyle ilişkilendirildi.
Aynı gün Talos, AI entegreli zararlı yazılımı metaveriyle izlemek için açık kaynak CAIRN (Cognitive Artifact Intelligence Research Network) setini de yayımladı; CLOSEDQUORUM bu serinin ilk bulgu yazısı.
Kapak temsili bir sunucu odasıdır; Cisco logosu veya Talos arayüzü göstermez.
Kaynaklar
Sık sorulan sorular
CLOSEDQUORUM sahada kullanılıyor mu?
Talos, kamuya açık dağıtım örneğinde yer tutucu anahtarlar olduğunu ve sahada aktif kampanya teyidi bulunmadığını yazıyor; mimari kamuya belgelendi.
Hangi modeller sorgulanıyor?
Talos’a göre DeepSeek, Qwen, Mistral ve Google Gemini; karar çoğunluk oyuyla seçiliyor.
