CLOSEDQUORUM usa quatro modelos de IA para votar ataques

A 25 de Setembro de 2026, a Cisco Talos publicou uma análise de CLOSEDQUORUM, um binário para Windows que pede a até quatro modelos comerciais de linguagem que escolham a sua próxima acção. A empresa classifica-o como o primeiro implante Windows documentado publicamente a aplicar este modelo a decisões tácticas de comando e controlo, conhecido pela sigla C2. A descoberta foi feita através do CAIRN, uma ferramenta de investigação de código aberto da Talos para acompanhar ameaças com integração de IA.

Quatro votos, uma acção executada

O programa pode integrar DeepSeek, Qwen, Mistral e Google Gemini. Segundo a análise técnica, o seu orquestrador consulta cada fornecedor em sequência, reúne as respostas e escolhe a decisão com mais votos. A arquitectura pretende delegar ao software a selecção da próxima etapa, sem comandos continuados de um operador humano nem instruções de um servidor C2 controlado pelo atacante. O objectivo funcional indicado no código é a recolha de credenciais de utilizadores e de carteiras de criptoactivos.

O nome descreve um quórum fechado: há até quatro participantes, mas nenhum humano participa na sessão. Os modelos não podem responder livremente. O malware impõe um esquema JSON tipado e aceita apenas decisões que correspondam a capacidades previstas no executável. A Talos salienta que esta restrição reduz a resposta de um modelo a um conjunto limitado de escolhas executáveis. Portanto, a autonomia observada não significa que a IA possa inventar indiscriminadamente uma operação; significa que escolhe entre opções preparadas pelo autor do malware.

O que a investigação confirmou — e o que não confirmou

A amostra analisada é um executável Windows de 64 bits, compilado em Go, com 16,4 MB. A análise estática confirmou o ciclo de consulta, agregação e selecção das decisões. A Talos encontrou ainda versões de desenvolvimento que demonstram a introdução de credenciais dos fornecedores no momento da compilação. Contudo, a versão pública contém chaves de API de substituição e um webhook fictício. Os investigadores não conseguiram, por isso, observar a operação integral da arquitectura numa execução real.

• Na inicialização, o implante recolhe nome da máquina, versão do Windows, arquitectura, número de CPUs e privilégios administrativos.
• As decisões previstas são steal, inject, persist e move.
• Steal tenta obter credenciais da LSASS, palavras-passe guardadas em Chrome, Edge e Firefox e dados de carteiras como MetaMask e Exodus.
• Num empate, a ordem de desempate implementada dá prioridade a DeepSeek, depois Qwen, Mistral e Gemini.

A decisão steal activa em simultâneo funções para extracção de credenciais da memória LSASS, recolha de palavras-passe dos navegadores e procura de carteiras. Inject gera shellcode e encaminha a execução para um método de injecção consoante o tipo indicado. Persist chama mecanismos de persistência. Move está definido no vocabulário de decisões, mas não tem manipulador na versão de distribuição estudada. Se todos os modelos falharem, o resultado de recurso não corresponde a nenhuma capacidade e o ciclo fica em espera antes de voltar a tentar.

Da infra-estrutura C2 aos serviços de IA

Os sistemas C2 tradicionais exigem normalmente uma infra-estrutura própria: domínio, endereço IP, protocolo e servidor à escuta. Estes elementos podem ser atribuídos, bloqueados ou incluídos em fontes de inteligência sobre ameaças. CLOSEDQUORUM substitui essa componente por pedidos a interfaces de fornecedores comerciais de IA, serviços que são usados diariamente por muitas aplicações legítimas. Não é o contacto com uma API de IA que identifica uma infecção, mas a associação desse tráfego a comportamentos ofensivos do mesmo processo.

De acordo com a Talos, a decisão vencedora e a fundamentação devolvida pelo modelo podem ser enviadas para um webhook Discord, juntamente com dados como processo-alvo, método de evasão, tipo de exploração e configuração de carga. A empresa afirma que o material roubado chega ao canal do operador cifrado com AES-256-GCM e codificado em base64. O site SecurityAffairs acrescentou que a chave derivaria da data actual; como esse pormenor não está presente no excerto técnico da Talos fornecido, deve ser entendido como uma afirmação atribuída àquela publicação.

A descoberta não equivale a uma confirmação de utilização contra organizações reais. A Talos declarou expressamente não ter confirmação de implantação em ambiente real. Indicou, ainda assim, que artefactos do binário permitiram associar o programador a mensagens em fóruns criminosos sobre carding desde 2025. Essa associação é relevante para o contexto da investigação, mas não demonstra por si só uma campanha activa. A dependência de APIs externas também cria limitações: recusas, tempos de espera e respostas mal formatadas podem impedir que o quórum produza uma decisão útil.

Para organizações em Portugal, a lição operacional passa por estabelecer uma linha de base para utilização autorizada de serviços de IA e monitorizar desvios. A Talos recomenda atenção a binários Windows que contactem vários fornecedores de IA e o Discord em períodos curtos, sobretudo se também acederem à LSASS, criarem processos suspensos ou configurarem persistência. Nenhum destes indícios basta isoladamente. Em conjunto, porém, podem justificar investigação. O caso é ainda inicial e limitado, mas mostra como uma fase de uma intrusão pode ser transferida do operador para código que toma decisões dentro de parâmetros previamente definidos.