ClosedQuorum: un malware en Go que delega el C2 a paneles de LLM

Cisco Talos ha identificado ClosedQuorum, un malware para Windows escrito en Go que automatiza las decisiones tácticas tras la explotación usando modelos de lenguaje de gran escala. A diferencia de los troyanos tradicionales que esperan instrucciones por C2, este implant consulta a un panel formado por Google Gemini, DeepSeek, Qwen y Mistral AI para determinar su siguiente paso. El sistema opera con un mecanismo de votación: si hay empate, DeepSeek tiene prioridad para decidir, seguido por Qwen, Mistral y Gemini.

Los investigadores de Talos explican que los modelos no tienen libertad total. El malware restringe las acciones a un conjunto predefinido de opciones. La opción 'steal' ejecuta simultáneamente la extracción de credenciales desde LSASS, roba datos de navegadores (Chrome, Edge, Firefox) y extrae claves de billeteras criptográficas como MetaMask o Exodus. La acción 'inject' genera shellcode que se inyecta mediante process hollowing o Early Bird APC. Existe también una opción 'persist' para mantener la presencia en el sistema y una 'move' para movimiento lateral, aunque en la variante analizada esta última no tiene el manejador necesario para ejecutarse, por lo que queda desactivada.

Una vez obtenidos los datos, el malware los envía a los operadores a través de un webhook de Discord, cerrando el ciclo de ataque sin intervención humana tras la inicial entrega del binario. Talos señala que esta arquitectura permite escalar los ataques a velocidad de máquina, eliminando el cuello de botella del analista humano. Sin embargo, el sistema es frágil: si las APIs comerciales de IA alcanzan sus límites de tasa, devuelven salidas malformadas o sufren caídas temporales, el malware puede verse paralizado. Además, la versión analizada contenía credenciales de API falsas y un webhook de prueba, lo que sugiere que podría tratarse de un prototipo o un experimento de madurez incierta. Aun así, Talos advierte de un cambio arquitectónico hacia la automatización completa de las cadenas de ataque.

El hallazgo se produjo gracias a CAIRN, un kit de herramientas de código abierto lanzado por Talos para rastrear y analizar malware integrado con IA. Los artefactos del binario vinculan al desarrollador con foros criminales donde se discuten técnicas de carding desde 2025, aunque no hay confirmación de despliegues activos en la naturaleza.

Para los equipos de seguridad, esto implica que la detección basada solo en patrones de C2 está obsoleta. Las defensas deben empezar a monitorear el tráfico saliente hacia APIs de modelos de lenguaje y analizar el comportamiento inusual de procesos Go que interactúen con servicios de IA, ya que el atacante ahora es un algoritmo, no una persona.