Cisco Talos detectó CLOSEDQUORUM, el primer malware de Windows que utiliza una votación entre modelos de IA para decidir sus acciones en lugar de un servidor central. El software puede robar credenciales, contraseñas y datos de criptomonedas, enviando los resultados a través de Discord. Aunque es un avance en autonomía, su eficacia es limitada ya que depende de servicios externos que pueden bloquear sus solicitudes.

Un malware de Windows llamado CLOSEDQUORUM está diseñado para recibir órdenes a través de una votación de hasta cuatro modelos de IA en lugar de un servidor del atacante, según informó Cisco Talos el 22 de septiembre.

Los modelos pueden elegir robar credenciales de Windows, contraseñas guardadas en el navegador y datos de billeteras de criptomonedas. Talos no ha visto que esta configuración funcione de principio a fin, y la versión pública del malware no funciona tal cual.

Talos encontró el malware con CAIRN, una herramienta de código abierto que lanzó el mismo día para cazar malware que utiliza servicios de IA. El malware tiene al menos tres meses, ya que el análisis del código de Talos tiene fecha del 17 de junio de 2026.

Los investigadores no describieron cómo llegaría el malware al ordenador de una víctima. Indicaron que pistas en el código vinculan al desarrollador con publicaciones en foros criminales sobre carding (el comercio de datos de tarjetas robadas) que datan de 2025.

Cómo funciona la votación de ia

Normalmente, el malware recibe órdenes de un servidor de comando y control (C2) que gestiona el atacante. En cambio, CLOSEDQUORUM pregunta a hasta cuatro servicios de IA comerciales qué hacer: DeepSeek, Qwen, Mistral y Google Gemini, según descubrió Talos.

Con cada solicitud, el malware envía datos básicos del ordenador, como su nombre, su versión de Windows y el estado de administrador. También envía una lista fija de acciones para que los modelos elijan.

Hay cuatro acciones: robar, inyectar, persistir y mover. En la versión pública, "mover" no tiene código asociado, por lo que elegirla no hace nada.

Cada modelo debe responder en un formato establecido, o su respuesta es descartada. El malware cuenta las respuestas y ejecuta la acción con más votos. Si ningún modelo da una respuesta utilizable, espera y lo intenta de nuevo en lugar de elegir una acción por defecto.

Debido a que los modelos toman cada decisión, el atacante no tiene que enviar comandos una vez que el malware está en funcionamiento, afirmó Talos.

El atacante sigue viendo cada decisión, junto con la razón expuesta por el modelo, en un canal de Discord. Antes de actuar, el malware las publica allí a través de un webhook de Discord, una URL que envía mensajes a un canal. Los datos robados van al mismo canal.

Para funcionar, cada copia necesita claves API (los códigos que permiten que un programa use los servicios de IA) y un webhook de Discord real. Las versiones de prueba muestran que las claves se añaden cuando se construye el programa. La versión pública tiene valores provisionales para ambos, por lo que no puede contactar con los modelos ni enviar datos.



Talos afirmó que CLOSEDQUORUM es, que sepa, el primer implante de Windows documentado públicamente que delega sus decisiones de C2 en modelos de IA.

La IA ya se había utilizado en malware anteriormente. LAMEHUG, que el CERT-UA de Ucrania reportó en julio de 2025, pedía a un modelo de IA que escribiera comandos para tareas ya establecidas en su código. CLOSEDQUORUM, en cambio, pide a los modelos que elijan la tarea.

Talos describe a CLOSEDQUORUM como un ejemplo temprano y limitado de atacantes delegando parte de un ataque en modelos de IA.

Depender de servicios de IA crea puntos débiles, ya que los servicios pueden rechazar solicitudes, limitar la cantidad de respuestas o devolver resultados erróneos. Además, el malware depende de empresas que no controla.

Qué hacen las acciones

Cuando la votación elige "robar", el malware hace tres cosas a la vez, descubrió Talos. Vuelca la memoria de LSASS, el proceso de Windows que contiene las credenciales de inicio de sesión. También copia contraseñas guardadas de Chrome, Edge y Firefox, y datos de las billeteras de criptomonedas MetaMask, Exodus y Ethereum.

La opción de "inyectar" ejecuta código dentro de otro programa. Utiliza un método llamado inyección Early Bird APC, o process hollowing si el modelo lo solicita.

La opción de "persistir" configura tres formas para que el malware se inicie automáticamente: un valor bajo la clave Run del Registro del usuario actual, una tarea programada y una suscripción a eventos WMI que lo inicia cada 60 segundos. El valor del Registro y los nombres de WMI están tematizados como Windows Update para que parezcan actividad normal del sistema.

Antes de enviar los archivos robados, el malware los copia en C:\Windows\Temp\, los encripta y los divide en fragmentos de 1.900 bytes. Publica un fragmento por segundo en el canal de Discord del atacante.

Qué pueden buscar los defensores

Talos dijo que los defensores deben vigilar el comportamiento en lugar de bloquear los dominios de los servicios de IA. Programas legítimos pueden contactar con DeepSeek, Mistral, Gemini, Discord o OpenRouter. Muy pocos contactarían con varios de ellos mientras acceden a LSASS, inyectan código en procesos suspendidos o crean persistencia WMI.

Ningún signo individual identifica el malware, pero la combinación destaca. Las señales incluyen:

* Tráfico de servicios de IA desde un programa de Windows que no debería usar IA
* Solicitudes similares enviadas a varios proveedores de IA en poco tiempo
* Prompts que contienen detalles del ordenador o lenguaje de ataque, probablemente visibles solo con inspección TLS (desencriptando tráfico HTTPS) o para el proveedor de IA
* Inyección de procesos, acceso a LSASS o nueva persistencia
* Tráfico de webhooks de Discord desde el mismo programa u ordenador
* Actividad que se repite a intervalos aleatorios de cinco a 15 minutos

Una regla Snort que publicó Talos, 1:66984, busca los prompts del malware hacia los servicios de IA. Debido a que estos prompts probablemente solo sean visibles con inspección TLS, la regla necesitaría dicha inspección para coincidir.

La regla YARA publicada por Talos está escrita principalmente para buscar datos de archivos en VirusTotal. Partes de ella, como el texto que el malware envía a los modelos de IA, coinciden solo cuando se escanea el archivo mismo.

El archivo de reglas que viene con CAIRN no incluía una regla para CLOSEDQUORUM cuando se comprobó el 23 de septiembre. Los usuarios de CAIRN tendrían que añadir la regla de Talos ellos mismos.

Talos publicó los hashes SHA-256 de seis versiones del desarrollo del malware:

* SHA-256: 250d4fa37488af9b025333fa17705573d721467b203765bc360890b4f5a90cd7
* SHA-256: c4dc171f2513fcaf9d5ecc815a94aee4063b213ab380f80bd3ac422dee5205a7
* SHA-256: c13cea04f598e2b0c248d603a6e31bd13aabb64d8149c1b6a77b64e0b983a86f
* SHA-256: f5f1f8c3e7b883793800ab6ccf21b3e60bd0730f300b4595fe74a33adc17a63c
* SHA-256: 5191cf625dfc209a347f137b50aea199e82040fd5ee9086fb3e2de73c133f3cb
* SHA-256: eddbd0ecf7195d38fefae5b9d393abfa79e6f3f94bde19308ecef130a05a42e5

Otros rastros que el malware dejaría en tu ordenador incluyen:

* Registro: un valor llamado WindowsUpdate bajo la clave Run del usuario actual
* Archivo: un script de PowerShell en una ruta consistente con C:\Windows\Temp\wmi.ps1
* WMI: una suscripción de evento permanente con nombres tematizados de Windows Update que inicia el malware cada 60 segundos

Fuente:
THN