The Pulse

Cisco Talos scopre un malware che lascia all’IA la scelta della prossima azione d’attacco

Cisco Talos ha individuato CLOSEDQUORUM, un campione di malware per Windows che utilizza più modelli di IA commerciali per scegliere tra un insieme limitato di azioni d’attacco. Il binario disponibile pubblicamente non è però funzionante e

AI.info Team · Scritto con l’IA · verificato · 2026-09-23

Cisco Talos ha individuato un campione di malware per Windows che delega decisioni tattiche a modelli di intelligenza artificiale commerciali, ma la scoperta è accompagnata da un’importante precisazione: i ricercatori non hanno confermato che l’impianto abbia operato in circolazione. Il binario osservato pubblicamente contiene chiavi API segnaposto e un webhook Discord fittizio, che lo rendono non funzionante nella forma in cui è distribuito.

Talos descrive il malware, chiamato CLOSEDQUORUM, come il primo impianto per Windows documentato pubblicamente noto per applicare un ciclo decisionale basato sull’IA al comando e controllo. Secondo l’azienda, il campione può chiedere a un massimo di quattro grandi modelli linguistici di scegliere tra un insieme limitato di azioni d’attacco, per poi eseguire la decisione vincente senza ulteriori istruzioni da parte di un operatore umano. La ricerca è stata pubblicata il 22 settembre 2026, insieme al rilascio di CAIRN, il toolkit open source di Talos per monitorare i malware che integrano l’IA.

La distinzione tra uno strumento criminale funzionante e una dimostrazione tecnica è importante. Secondo Talos, gli elementi presenti nel binario collegano il suo sviluppatore a messaggi pubblicati su forum criminali relativi al carding, risalenti al 2025, ma l’azienda non sostiene che CLOSEDQUORUM sia stato usato contro vittime. La scoperta documenta un’architettura e un meccanismo decisionale funzionante, non una campagna confermata.

«CLOSEDQUORUM va inteso non tanto come un malware sofisticato, quanto come una dimostrazione del fatto che è in arrivo un cambiamento architetturale verso l’automazione della catena d’attacco.»
Ryan Fetterman, ricercatore di sicurezza, Cisco Talos

Quattro modelli sostituiscono un server C2 convenzionale

Un’infrastruttura di comando e controllo tradizionale mette a disposizione dell’operatore un server, un dominio o un indirizzo attraverso cui impartire istruzioni. CLOSEDQUORUM considera invece i fornitori di modelli parte del proprio sistema di controllo. Secondo Talos, l’impianto può interrogare in sequenza DeepSeek, Qwen, Mistral e Google Gemini, raccogliere le loro decisioni e selezionare l’azione che riceve più voti.

Il malware è un eseguibile per Windows a 64 bit da 16,4 megabyte, scritto in Go. Il codice che orchestra i modelli invia a ciascun fornitore informazioni sull’host e sul contesto dell’attacco, quindi analizza la risposta per ricavarne una decisione strutturata. Tra le opzioni disponibili figurano steal, inject, persist e move; la build distribuita non dispone di un componente per gestire move.

La votazione è deliberatamente circoscritta. I modelli non restituiscono istruzioni senza vincoli che l’impianto possa interpretare come codice arbitrario. Devono produrre un oggetto valido conforme allo schema previsto dal malware e la decisione selezionata deve corrispondere a una funzionalità già implementata nel binario. Secondo Talos, questa struttura comprime una fase tattica dell’intrusione in un piccolo insieme di opzioni eseguibili.

CLOSEDQUORUM prende di mira credenziali e wallet

L’azione steal combina tre funzioni: l’estrazione delle credenziali dalla memoria di LSASS di Windows, l’estrazione delle password salvate in Chrome, Edge e Firefox e la ricerca di dati dei wallet di criptovalute. Talos ha trovato anche codice per l’iniezione nei processi, la persistenza e la generazione di payload.

L’impianto raccoglie il nome dell’host, la versione di Windows, il numero di processori, l’architettura del sistema e lo stato dei privilegi di amministratore prima di inviare questo contesto al gruppo di modelli. Un processo bersaglio può aggiornarsi nei cicli decisionali successivi. La risposta del modello include un campo con il ragionamento e i parametri di esecuzione, che il malware invia a un operatore tramite un webhook Discord insieme alla decisione vincente e ai dati di telemetria.

Secondo Talos, i dati rubati vengono cifrati con AES-256-GCM e inviati a Discord sotto forma di blocchi codificati in base64. Il rapporto descrive la cifratura come una forma di offuscamento, piuttosto che come una netta separazione tra lo sviluppatore e l’operatore: la chiave è derivata dalla data corrente, il che significa che lo sviluppatore potrebbe teoricamente decifrare il materiale sottratto da un operatore.

Il campione pubblico è un modello inerte

Il campione a disposizione dei ricercatori non contiene credenziali funzionanti. I valori delle API dei modelli sono inizializzati a dummy_api_key e la destinazione Discord è impostata su dummy_webhook_url. Secondo Talos, le build di sviluppo mostrano che lo sviluppatore potrebbe compilare copie personalizzate inserendo le chiavi API e il webhook di un operatore al momento della compilazione.

Questa configurazione suggerisce un modello di servizio in cui uno sviluppatore fornisce malware configurato, mentre gli operatori si occupano della distribuzione. Talos descrive la configurazione dedotta come un servizio di credenziali, nel quale l’orchestrazione autonoma dei modelli costituisce la caratteristica distintiva del prodotto. La valutazione è esplicitamente presentata come un’ipotesi dedotta dalle build disponibili, non come prova di una struttura di distribuzione confermata.

Il binario contiene anche diversi meccanismi volti a rendere più difficile l’analisi, tra cui intervalli di interrogazione casuali e tecniche associate all’iniezione nei processi e alla persistenza. Queste caratteristiche aumentano l’interesse tecnico del campione, ma non modificano la principale precisazione di Talos: non è stata osservata alcuna esecuzione completa dall’inizio alla fine della build distribuita pubblicamente.

Chi si difende deve cercare la combinazione di segnali

Talos consiglia a chi si occupa di difesa di concentrarsi sui comportamenti correlati anziché bloccare un singolo dominio o fornitore. Un software legittimo può contattare un servizio di IA o Discord, ma un eseguibile per Windows che contatta diversi fornitori di modelli mentre accede a LSASS, effettua iniezioni in processi sospesi o crea meccanismi di persistenza è un segnale più distintivo.

L’azienda individua diversi comportamenti da rilevare: richieste a più fornitori di IA a brevi intervalli, prompt strutturati contenenti informazioni sull’host o termini relativi a funzionalità offensive, attività di webhook Discord proveniente dallo stesso processo ed esecuzioni ripetute a intervalli casuali da cinque a quindici minuti. Per vedere i prompt stessi potrebbero essere necessari dati di telemetria dal lato del fornitore o un’ispezione TLS.

CLOSEDQUORUM mette in luce anche i punti deboli dell’approccio. I rifiuti dei modelli, i limiti delle API, le risposte non conformi e l’indisponibilità dei fornitori possono interrompere il ciclo decisionale. Talos ha rilevato che, in caso di parità tra i modelli, l’implementazione determina il risultato in base all’ordine dei fornitori, dando priorità a DeepSeek, seguito da Qwen, Mistral e Gemini.

CAIRN trasforma un singolo campione in un problema di monitoraggio

Talos ha rilasciato CAIRN come toolkit open source per monitorare i malware che integrano l’IA. Secondo l’azienda, il progetto esaminerà campioni che vanno dalle dimostrazioni sperimentali di fattibilità a campagne potenzialmente attive.

Per il momento, è preferibile considerare CLOSEDQUORUM un caso di riferimento documentato, piuttosto che la prova di un’ampia ondata di attacchi. La sua importanza sta nel mostrare che un impianto può convertire l’output dei modelli in azioni tattiche circoscritte senza richiedere a un operatore di impartire ogni comando. Il campione disponibile può essere inerte, ma il ciclo decisionale, le integrazioni con i fornitori e gli indicatori utili alla difesa sono sufficientemente concreti da consentire ai team di sicurezza di effettuare test già ora.