Cisco Talos phát hiện malware tự chủ CLOSEDQUORUM điều khiển bằng “hive mind” của nhiều LLM

Tóm tắt nhanh

• Cisco Talos phát triển framework gọi là CAIRN để nhận diện đặc tính AI trong phần mềm độc hại và phân loại mẫu bằng ID độc nhất.
• CAIRN đã xác định công cụ tấn công Windows tên CLOSEDQUORUM, malware tự động hỏi ý kiến tới nhiều LLM để quyết định hành động tiếp theo.
• CLOSEDQUORUM polling tới bốn LLM — DeepSeek, Qwen, Mistral và Google Gemini — và vẫn hoạt động nếu một dịch vụ bị mất kết nối.
• Malware được cấu hình hoàn toàn khép kín, không có cơ chế nhập liệu của con người, lấy chỉ đạo từ sự đồng thuận của các model.
• Cisco Talos thấy liên hệ giữa CLOSEDQUORUM và diễn đàn tội phạm mạng về gian lận thẻ tín dụng từ năm 2025, và chức năng lấy cắp login cùng tiền mã hóa.
• Nhóm không xác định được tác giả của malware và chưa thể xác nhận việc CLOSEDQUORUM đã được sử dụng trong các cuộc tấn công thực tế.
• CAIRN tìm thấy khoảng 20 ví dụ phần mềm độc hại tích hợp AI khác sau vài tháng phân tích, nhiều hơn con số công khai trước đó.
• CERT-UA tháng 7/2025 cảnh báo chiến dịch phishing dùng implant “LAMEHUG” liên lạc với Qwen2.5-Coder-32B-Instruct qua API Hugging Face.
• Cisco Talos nhận xét việc tích hợp AI đang được vận hành hóa, giúp attacker chạy nhiều chiến dịch hơn và quản lý nhiều máy tính khác nhau.
• Ryan Fetterman nói dấu vết tích hợp AI (metadata) để lại 'vân tay' giúp theo dõi, phân loại và hiểu hành vi nổi lên của malware tích hợp AI.

Tóm tắt tự động bằng AI từ bài gốc, có thể có sai sót. Hãy kiểm chứng ở bài gốc.