CLOSEDQUORUM fait voter quatre IA pour piloter un malware

Le 25 septembre 2026, Cisco Talos a présenté CLOSEDQUORUM, un implant malveillant pour Windows conçu pour interroger jusqu’à quatre grands modèles de langage commerciaux, comptabiliser leurs réponses et exécuter l’action majoritaire. Talos estime qu’il s’agit du premier implant Windows documenté publiquement, à sa connaissance, à confier des décisions tactiques de commande et contrôle à un groupe de modèles commerciaux. L’échantillon a été découvert grâce à CAIRN, l’outil open source de suivi des malwares intégrant de l’IA publié par Talos.

L’intérêt du cas tient moins aux capacités de vol elles-mêmes qu’au déplacement de la décision. Au lieu d’attendre des instructions permanentes d’un opérateur via un serveur contrôlé par l’attaquant, CLOSEDQUORUM est conçu pour solliciter des services d’IA. Ses objectifs annoncés sont les identifiants utilisateur et les portefeuilles de cryptomonnaies. Selon Talos, après l’installation, la partie dynamique de l’opération est déléguée aux modèles.

Un scrutin à la place d’un serveur de commande

L’implant prend en charge des intégrations avec DeepSeek, Qwen, Mistral et Google Gemini. Les fournisseurs actifs sont interrogés l’un après l’autre. Le programme agrège ensuite leurs réponses selon un vote à la pluralité: l’action ayant reçu le plus de voix est retenue. Le terme «quorum fermé» renvoie à ce dispositif où aucun humain ne participe à la décision. Il ne s’agit pas d’un échange libre avec un agent conversationnel, mais d’un mécanisme de routage très encadré vers des fonctions malveillantes.

Une infrastructure classique de commande et contrôle suppose généralement des noms de domaine, des adresses IP, un protocole et un serveur d’écoute exploités par l’attaquant. Ces éléments peuvent être repérés, bloqués ou suivis. CLOSEDQUORUM se tourne au contraire vers des points d’accès de fournisseurs d’IA utilisés aussi par de nombreuses applications légitimes. Cela ne rend pas son activité indétectable, mais déplace le problème: les défenseurs doivent corréler le trafic vers ces services, les actes locaux suspects et l’exfiltration de données.

L’analyse statique de Talos confirme la boucle de décision autonome et l’injection, à la compilation, d’identifiants pour les fournisseurs. Toutefois, la version publique contient des clés d’API de remplacement et un webhook Discord factice. Les chercheurs n’ont donc pas observé l’architecture complète fonctionner de bout en bout avec cet échantillon. Cette réserve est essentielle: le rapport établit l’existence du code et d’artefacts de développement, non le déploiement confirmé d’une campagne active.

Des réponses limitées à quatre décisions

À son lancement, le programme recueille le nom de l’hôte, la version de Windows, l’architecture, le nombre de processeurs et le statut administrateur. Ces données, ainsi qu’une valeur de processus cible actualisée à chaque cycle, sont intégrées aux requêtes envoyées aux modèles. La réponse doit respecter un schéma JSON typé et désigner une décision connue. Toute réponse mal formée ou ne correspondant pas à une capacité disponible est écartée.

Le vocabulaire d’action est volontairement restreint. La décision steal déclenche simultanément l’extraction d’identifiants dans la mémoire LSASS, la récupération des mots de passe enregistrés dans les navigateurs et la collecte de portefeuilles de cryptomonnaies. Inject génère du code machine puis peut employer le process hollowing ou une injection APC dite early-bird. Persist appelle une fonction de persistance. Move figure dans les choix possibles, mais Talos indique qu’aucun gestionnaire correspondant n’est présent dans la version distribuée.

• Le programme vise les identifiants de la mémoire LSASS et les mots de passe de Chrome, Edge et Firefox.
• Ses cibles de portefeuilles comprennent l’extension MetaMask, les données Exodus et des chemins liés à Ethereum.
• Il peut transmettre à un webhook Discord la décision retenue, le raisonnement du modèle et des paramètres d’exécution.
• Si tous les modèles interrogés échouent, il choisit une valeur non exploitable, attend puis recommence.

Une égalité tranchée par l’ordre du code

Avec quatre votants, l’égalité est possible. CLOSEDQUORUM la résout de manière fixe: DeepSeek est prioritaire, devant Qwen, Mistral puis Gemini. Talos explique que cet avantage découle de l’ordre de traitement des résultats et d’une comparaison stricte dans le code, pas d’un arbitrage indépendant. Si DeepSeek ne répond pas, le fournisseur disponible suivant dans cet ordre peut bénéficier du même effet. La pluralité améliore la tolérance aux refus, délais ou réponses invalides, sans assurer qu’une décision utile sera obtenue.

Le malware conserve le champ de raisonnement fourni par le modèle et l’envoie avec la décision, le processus cible, une méthode d’évasion, une configuration de charge utile, le modèle et l’horodatage. Les données volées sont transmises vers Discord sous forme de blocs base64 chiffrés en AES-256-GCM. SecurityAffairs, résumant les éléments de Talos, affirme que la clé est dérivée de la date courante plutôt que d’un secret; cette observation concerne l’implémentation rapportée et ne permet pas d’affirmer que toutes les variantes fonctionneraient ainsi.

Des indices sur un développeur, pas une campagne établie

Talos indique que des artefacts présents dans le binaire ont permis de relier son développeur à des publications sur des forums criminels liées au carding, remontant à 2025. L’entreprise ne nomme pas cette personne dans les éléments fournis et précise ne pas avoir confirmé de déploiement dans la nature. Les faits disponibles appuient donc l’existence d’un travail de développement et de liens allégués avec ces forums, sans démontrer l’ampleur, les victimes ou l’efficacité d’une opération.

Pour les équipes de sécurité, le principal apport est la liste de signaux à rapprocher. Talos cite des exécutions répétées à des intervalles aléatoires d’environ cinq à quinze minutes, des appels à plusieurs fournisseurs d’IA par un exécutable Windows inattendu, des requêtes similaires rapprochées et des communications Discord provenant du même processus ou poste. Le contenu des requêtes ne serait généralement visible qu’avec une inspection TLS ou des données côté fournisseur. L’accès à LSASS, les mécanismes de persistance et les injections de processus restent des alertes classiques.

En France comme dans le reste de l’espace francophone, les services d’IA et Discord peuvent avoir des usages professionnels légitimes: les bloquer indistinctement serait peu précis. Une réponse plus concrète consiste à recenser les applications autorisées, surveiller les associations inhabituelles entre trafic vers des fournisseurs d’IA et Discord, puis les recouper avec la télémétrie des postes. CLOSEDQUORUM demeure un exemple public précoce et incomplet, mais il matérialise une évolution préoccupante: automatiser une phase de l’intrusion sans supprimer les traces techniques qu’elle produit.