CLOSEDQUORUM deja que cuatro IA voten acciones de malware

El 25 de septiembre de 2026, Cisco Talos informó sobre CLOSEDQUORUM, un implante malicioso para Windows diseñado para consultar hasta cuatro modelos comerciales de lenguaje, contar sus respuestas y ejecutar la acción ganadora. Talos lo considera, según su conocimiento, el primer implante Windows documentado públicamente que aplica este modelo a decisiones tácticas de mando y control. La muestra fue localizada mediante CAIRN, una herramienta abierta de Talos para investigar malware integrado con inteligencia artificial.

La novedad no reside tanto en el robo de credenciales como en quién decide el siguiente paso. En vez de recibir órdenes continuas de una persona mediante un servidor controlado por el atacante, CLOSEDQUORUM está pensado para enviar solicitudes estructuradas a servicios de IA. Su finalidad declarada es obtener credenciales de usuarios y monederos de criptomonedas. Talos sostiene que, una vez desplegado, el funcionamiento dinámico queda delegado a los modelos.

Una votación en lugar del C2 habitual

El binario admite integraciones con DeepSeek, Qwen, Mistral y Google Gemini. Consulta secuencialmente a los proveedores activos, reúne las respuestas y aplica una votación por pluralidad: vence la acción con más votos. El nombre alude a un quórum cerrado porque ninguna persona interviene en esa deliberación. No es una conversación abierta con un asistente, sino un sistema que restringe las respuestas para dirigir la ejecución hacia funciones concretas del implante.

La infraestructura convencional de mando y control suele exigir dominios, direcciones IP, protocolos y servidores de escucha operados por un atacante. Esos recursos pueden ser rastreados o bloqueados. CLOSEDQUORUM usa, en cambio, puntos de acceso de proveedores comerciales de IA que también reciben tráfico legítimo de muchas aplicaciones. Eso no equivale a invisibilidad: cambia el patrón que se debe detectar, pues combina conexiones a servicios de IA, actividad sospechosa en el equipo y salida de información.

El análisis estático de Talos confirma la existencia de la bucle autónoma de decisión y de credenciales de proveedores incorporadas durante la compilación. Sin embargo, la versión pública distribuida contiene claves de API de marcador de posición y un webhook de Discord ficticio. Por ello, los investigadores no observaron una ejecución completa de la arquitectura con esa muestra. El informe prueba características de código y de desarrollo, pero no confirma una campaña activa ni un despliegue en entornos reales.

Cuatro decisiones y un formato obligatorio

Al iniciarse, el implante recopila información básica del equipo, entre ella el nombre del host, la versión y arquitectura de Windows, el número de CPU y el estado de administrador. Incorpora esos datos, junto con un valor de proceso objetivo que se actualiza en cada ciclo, a las solicitudes para los modelos. La respuesta debe ajustarse a un esquema JSON tipado y contener una decisión conocida. Las respuestas con formato inválido o sin una función asociada se descartan.

Las opciones ejecutables están limitadas. Steal activa a la vez el volcado de credenciales desde LSASS, la extracción de contraseñas guardadas en navegadores y la recopilación de monederos de criptomonedas. Inject genera shellcode y puede recurrir a process hollowing o a inyección APC early-bird, según el tipo de explotación recomendado. Persist llama a una función de persistencia. Move aparece en el vocabulario de decisiones, pero Talos señala que no dispone de un manejador funcional en la compilación distribuida.

• El implante busca credenciales en la memoria LSASS y contraseñas guardadas en Chrome, Edge y Firefox.
• Entre sus objetivos de monederos figuran la extensión MetaMask, datos de Exodus y rutas de Ethereum.
• Puede enviar a un webhook de Discord la decisión elegida, el razonamiento del modelo y campos de ejecución.
• Si fallan todos los modelos consultados, adopta un valor no ejecutable, espera y vuelve a intentarlo.

Los empates tienen un ganador prefijado

Cuatro votos pueden acabar en empate, y CLOSEDQUORUM lo resuelve con una prioridad fija: DeepSeek primero, seguido de Qwen, Mistral y Gemini. Talos atribuye esa preferencia al orden de procesamiento de las respuestas y a una comparación estricta en el código, no a un árbitro separado. Si DeepSeek falla, el siguiente proveedor disponible en ese orden puede adquirir la misma ventaja. El diseño ofrece cierta resistencia ante negativas, tiempos de espera o respuestas malformadas, pero no asegura una decisión válida.

El malware conserva el campo de razonamiento del modelo y lo comunica junto con la acción ganadora, el proceso objetivo, el método de evasión, la configuración de carga, el modelo y la marca temporal. El material sustraído llega al canal de Discord del operador como bloques base64 cifrados con AES-256-GCM. SecurityAffairs, al resumir el análisis de Talos, indicó que la clave deriva de la fecha actual y no de un secreto; esa valoración se refiere a la implementación descrita, no permite generalizarla a toda posible variante.

Vínculos reportados, despliegue sin confirmar

Talos afirma que ciertos artefactos del binario permitieron vincular al desarrollador con publicaciones sobre carding en foros criminales desde 2025. La compañía no identifica a esa persona en el material disponible y advierte expresamente que no tiene confirmación de despliegue en la naturaleza. Por tanto, la evidencia respalda la existencia de un desarrollo de malware y de conexiones reportadas con esos foros, pero no permite establecer cuántas víctimas habría, qué organizaciones fueron objetivo ni el alcance de una operación.

Para los equipos defensivos, el caso aporta señales que deben evaluarse en conjunto. Talos menciona ejecuciones repetidas en intervalos aleatorios de aproximadamente cinco a quince minutos, tráfico hacia varios proveedores de IA desde un ejecutable Windows inesperado, solicitudes similares realizadas en poco tiempo y comunicaciones con webhooks de Discord desde el mismo proceso o equipo. El contenido de los mensajes probablemente solo sería visible mediante inspección TLS o telemetría del proveedor. El acceso a LSASS, la persistencia y la inyección de procesos siguen siendo indicadores conocidos.

En España y América Latina, donde las API de IA y Discord también pueden formar parte de herramientas legítimas, un bloqueo general sería una medida poco selectiva. Resulta más útil inventariar los usos autorizados, alertar sobre combinaciones inusuales de tráfico hacia proveedores de IA y Discord, y relacionarlas con eventos de endpoint. CLOSEDQUORUM es un ejemplo público temprano e incompleto, pero concreta un riesgo operativo: desplazar una fase de la intrusión desde la supervisión humana hacia una automatización que todavía deja señales observables.