CLOSEDQUORUM: el primer malware que pone su próximo ataque a votación entre cuatro modelos de IA — y no necesita ningún operador humano para operar

El equipo de inteligencia de amenazas Cisco Talos publicó el 22 de septiembre el análisis de CLOSEDQUORUM, un malware de Windows que representa algo nuevo en la historia del malware: no tiene servidor de comando y control (C2). Cada decisión que toma después de infectar un sistema la delega a una votación entre cuatro modelos de lenguaje comerciales — y opera indefinidamente sin que ningún operador humano le dé instrucciones.

Cómo funciona el mecanismo de votación

CLOSEDQUORUM está escrito en Go. Una vez instalado en un sistema Windows comprometido, enfrenta un menú de acciones posibles post-compromiso: robar credenciales del sistema, exportar carteras de criptomonedas, exfiltrar cookies del navegador, entre otras. Para decidir qué hacer a continuación, consulta a cuatro proveedores de LLM en paralelo:

• Google Gemini
• DeepSeek
• Qwen (Alibaba)
• Mistral

Cada modelo recibe el mismo contexto del sistema comprometido y devuelve su "voto" sobre qué acción ejecutar a continuación. CLOSEDQUORUM sigue la mayoría. Si hay empate de dos contra dos, DeepSeek tiene el voto de desempate.

El resultado es un malware que toma decisiones tácticas de forma autónoma, adapta su comportamiento al entorno en que se encuentra, y no depende de ninguna infraestructura C2 que pueda ser bloqueada o derribada.

Por qué la ausencia de C2 cambia el problema de detección

El modelo tradicional de defensa contra malware post-compromiso incluye, entre otras cosas, identificar y bloquear las comunicaciones con servidores de comando y control. Una vez que el C2 se conoce, se puede bloquear a nivel de firewall o DNS, cortando las instrucciones que el malware necesita para operar.

CLOSEDQUORUM elimina ese vector de bloqueo. Sus "instrucciones" no vienen de un servidor controlado por un atacante — vienen de las APIs públicas de Google, DeepSeek, Alibaba y Mistral. Bloquear esas APIs en red corporativa es técnicamente posible, pero implica bloquear los mismos proveedores que muchas empresas usan legítimamente para sus propios productos de IA.

El malware también distribuye la dependencia entre cuatro proveedores independientes, lo que significa que incluso si uno bloquea o modifica su política de uso (como ocurrió en el caso de Gemini con Irregular la semana pasada), los otros tres siguen funcionando.

La respuesta de Talos: CAIRN

Junto con el análisis de CLOSEDQUORUM, Cisco Talos lanzó CAIRN — una herramienta de código abierto diseñada para detectar malware que usa LLMs para tomar decisiones. CAIRN monitorea patrones de consultas salientes a APIs de modelos de lenguaje desde procesos que no tienen razón legítima para hacerlas, y alerta cuando detecta votación multi-modelo o toma de decisiones automatizada por LLM dentro del host.

La herramienta está en etapas tempranas, pero es el primer intento coordinado de dar a los equipos de seguridad una capa específica para este tipo de amenaza.

Qué significa para quien opera servidores Windows

CLOSEDQUORUM actúa en la fase post-compromiso: asume que el sistema ya está infectado y que alguien ya entró. Eso significa que la defensa relevante está en las capas que impiden la intrusión inicial — no en intentar detectar el malware una vez que ya opera.

Credenciales robadas de un servidor Windows comprometido pueden dar acceso a bases de datos, paneles de administración, servicios internos y todo lo que ese servidor pueda alcanzar. Si los accesos administrativos de tu infraestructura no tienen autenticación de dos factores, o si hay cuentas con contraseñas por defecto o reutilizadas, CLOSEDQUORUM (o cualquier malware similar) tiene exactamente lo que necesita para hacer daño sin que nadie se dé cuenta hasta que es tarde.

La herramienta CAIRN de Talos está disponible en GitHub para quienes quieran agregarla a su stack de monitoreo.