Ny skadevare lar fire KI-modeller stemme om neste trekk

Cisco Talos la 22. september 2026 fram en analyse av CLOSEDQUORUM, et Windows-implantat som overlater valget av neste handling til fire kommersielle KI-modeller. Filen er skrevet i Go, veier 16,4 megabyte og spør DeepSeek, Qwen, Mistral og Google Gemini etter tur om hva den skal gjøre. Stemmene telles opp, og handlingen med flest stemmer blir utført. Talos har ikke bekreftet at implantatet er brukt i angrep. Spor i filen knytter likevel utvikleren til innlegg om kortsvindel på kriminelle forum, helt tilbake til 2025.

Modellene får ikke svare fritt. Systeminstruksjonen Talos hentet ut av filen ber modellen bare gi utførbare valg, og svaret må passe et fast JSON-skjema med fire handlinger: stjele, injisere, feste seg eller bevege seg videre. Den siste har ingen kode bak seg i utgaven som er spredt offentlig. Faller valget på å stjele, tas et minnebilde av LSASS samtidig som lagrede passord i Chrome, Edge og Firefox og lommebøker fra MetaMask, Exodus og Ethereum hentes ut. Utbyttet krypteres med AES-256-GCM, deles i biter på 1900 byte og legges i en Discord-kanal angriperen kontrollerer. Den samme kanalen får i sanntid begrunnelsen bak avgjørelsen som vant, med modell og tidspunkt oppgitt i samme melding.

Ved stemmelikhet er rangeringen bestemt på forhånd, med DeepSeek foran Qwen, Mistral og Gemini. Svarer ingen av modellene, legger implantatet seg til å sove og prøver på nytt heller enn å gjøre et standardvalg. Filen som ligger offentlig tilgjengelig, har plassholdere der nøklene og Discord-adressen skulle stått, og virker derfor ikke slik den er. Byggesporene Talos fant, over sju dagers utvikling, peker mot at hver operatør får sin egen fil med nøkler og kanal lagt inn under kompileringen. Talos understreker at beskrivelsen av stemmeløkken bygger på statisk analyse av filen, og at de ikke har sett arkitekturen kjøre helt gjennom.

Hva det betyr for deg som bygger deteksjonen

Det som forsvinner i denne arkitekturen, er tjeneren du er vant til å lete etter. Ingen egen styringstjener lar seg sperre, og ingen ny tjener dukker opp i sertifikatloggene. Utbyttekanalen er likevel der, siden hver operatør har sin egen Discord-webhook. Det du ser, er trafikk mot modelleverandører som tusenvis av lovlige programmer snakker med hver dag. Talos sier det rett ut: domenesperring hjelper lite her, og det er kombinasjonen av atferd som skiller seg ut. Mangler du oversikt over hvilke programmer på maskinene dine som har en reell grunn til å kontakte en modelleverandør, er det den oversikten som må på plass først.

Vår vurdering er at dette fortjener oppmerksomhet selv om filen som ligger ute ikke virker. Arkitekturen er dokumentert, den er satt sammen av deler hvem som helst kan kjøpe tilgang til, og den krever ingen operatør som sitter oppe om natten. Autonomien gir deg samtidig noe tilbake. Et implantat som må spørre fire leverandører før det handler, lager mer trafikk og mer støy enn ett som får ordrene fra én tjener, og det arver leverandørenes avslag, kvoter og svartider som egne feilkilder. Ser du et program som snakker med flere modelleverandører, åpner en Discord-adresse og samtidig går inn i LSASS, trenger du ikke vite hva skadevaren heter for å gripe inn.

Berigo anbefaler

• Kartlegg hvilke programmer og maskiner som har en reell grunn til å kontakte KI-leverandører, og varsle på alt som faller utenfor listen.
• Varsle på utgående trafikk til Discord fra tjenere og klienter som ikke har noen oppgave der.
• Knytt sammen alarmene for tilgang til LSASS, injisering i suspenderte prosesser og nye WMI-abonnementer, slik at den ene forsterker den andre.
• Ta inn filsummene og deteksjonsregelen Talos publiserte, og søk bakover i loggene etter dem.
• Se etter oppstartsnøkler og WMI-filtre og -konsumenter med Windows Update-navn som ikke kommer fra Windows Update, og gå gjennom planlagte oppgaver opprettet med schtasks.exe.