Cisco Talosの研究者は、感染した端末への侵入後に取るべき次の行動を、オペレーターからの直接の指示を待たずに複数のAIモデルへ判断させる、新たなWindows向けマルウェア「ClosedQuorum」を確認した。Goで記述されたこのマルウェアは、感染端末から収集した偵察情報を基に動作し、GoogleのGemini、DeepSeek、Qwen、Mistralのモデルに適切な行動を判断させる。
判断の仕組みには、モデル間の投票システムが含まれている。得票が同数になった場合は、DeepSeek、次いでQwen、Mistral、Geminiの順に優先される。モデルが任意のコマンドを自由に実行できるわけではなく、マルウェアは選択肢を特定の行動群に限定している。
ClosedQuorumにできること
- steal：LSASSの認証情報を抽出するツールを実行し、Chrome、Edge、Firefoxのブラウザー認証情報に加え、MetaMask、Exodus、Ethereumを含む暗号資産ウォレットのデータを窃取する。
- inject：シェルコードを生成し、プロセス・ハロウイングまたはEarly Bird APC injectionの手法を用いてインジェクションする。
- persist：端末上でマルウェアを永続化させるための専用モジュールを実行する。
- move：横方向の移動に特化したオプションだが、研究者が分析したバージョンでは、対応する処理が存在しないため機能しない。
窃取したデータはDiscord webhookを介してオペレーターへ送信される。そのため、マルウェアを端末へ送り込む段階を終えた後は、攻撃チェーンの大部分を自動的に継続できる。
なぜこのニュースが重要なのか
Cisco TalosはClosedQuorumについて、戦術的なコマンド・アンド・コントロールの判断を複数のAIモデル群に委ねるものとして、公に記録された初のWindows向け侵入マルウェアだと説明している。実際には、攻撃者は感染端末を一台ずつ監視したり、各ステップごとに個別の判断を下したりする必要がなくなる可能性があり、作戦の速度と拡張性が高まり、勤務時間外でも継続できるようになる。
しかし、この設計には弱点もある。モデルのAPI利用上限に達した場合、モデルが無効な出力を生成した場合、またはマルウェアが依存する商用APIが停止した場合、判断が停止する可能性がある。また、研究者が調査したバージョンには偽のAPI認証情報とテスト用のDiscord webhookが含まれていたが、カスタム版では置き換えられる可能性がある。
実証された脅威か、それとも実験か
研究者は、ClosedQuorumが技術的に高度なマルウェアだとは見ておらず、大規模な攻撃で実際に使用されたことも確認していない。また、実験モデルなのか、テストプロジェクトなのかも明らかになっていない。それでも、実行ファイル内の痕跡から、マルウェアの開発者が、2025年にさかのぼるカード窃取活動に関連した犯罪フォーラムへの投稿と結び付けられた。
Cisco Talosは、AIを統合したマルウェアの追跡と分析を研究者が行えるよう公開したオープンソースツール「CAIRN」を通じて、このマルウェアを発見した。入手可能な情報によれば、ClosedQuorumは完全に自律した攻撃が広がっていることの証拠ではない。しかし、AIが補助役から、攻撃戦術の選択に関与する要素へ移行していることを示す、記録に基づく一例となっている。