CLOSEDQUORUM — มัลแวร์ Windows ตัวแรกที่ให้ AI สูงสุด 4 โมเดลโหวตสั่งการแทน C2 ของแฮ็กเกอร์

สรุปสั้น

นักวิจัยจากบริษัท Cisco Talos เปิดเผยมัลแวร์บน Windows ชื่อ CLOSEDQUORUM ที่ถูกออกแบบให้รับคำสั่งจากการโหวตของโมเดล AI สูงสุด 4 ตัว แทนที่จะรับคำสั่งจากเซิร์ฟเวอร์สั่งการและควบคุม (command-and-control หรือ C2) ที่แฮ็กเกอร์ควบคุมเองตามปกติ โมเดลเหล่านั้นสามารถเลือกให้มัลแวร์ขโมยข้อมูลรับรองของ Windows, รหัสผ่านที่บันทึกไว้ในเบราว์เซอร์ และข้อมูลกระเป๋าเงินคริปโต โดย Talos ยังไม่เคยเห็นการทำงานครบตั้งแต่ต้นจนจบ และเวอร์ชันสาธารณะของมัลแวร์ยังใช้งานไม่ได้จริงเพราะเป็นค่าตัวอย่าง

Talos พบมัลแวร์ตัวนี้ด้วย CAIRN ซึ่งเป็นเครื่องมือโอเพนซอร์สที่บริษัทปล่อยออกมาในวันเดียวกันเพื่อล่ามัลแวร์ที่ใช้บริการ AI โค้ดของ CLOSEDQUORUM มีอายุอย่างน้อยสามเดือน เพราะการวิเคราะห์โค้ดลงวันที่ 17 มิถุนายน 2569 นักวิจัยไม่ได้ระบุว่ามัลแวร์แพร่เข้าสู่เครื่องเหยื่อได้อย่างไร แต่พบเบาะแสในโค้ดที่โยงผู้พัฒนาเข้ากับโพสต์ในฟอรัมอาชญากรรมเรื่องการซื้อขายข้อมูลบัตร (carding) ตั้งแต่ปี 2568 Talos ระบุว่านี่เป็น implant บน Windows ตัวแรกที่มีการบันทึกต่อสาธารณะว่ามอบการตัดสินใจของ C2 ให้กับโมเดล AI

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 23 กันยายน 2569 ว่า มัลแวร์บน Windows ชื่อ CLOSEDQUORUM ถูกสร้างให้รับคำสั่งจากการโหวตของโมเดล AI สูงสุด 4 ตัว ตามที่บริษัท Cisco Talos เปิดเผยเมื่อวันที่ 22 กันยายน

โดยปกติมัลแวร์จะรับคำสั่งจากเซิร์ฟเวอร์ C2 ที่ผู้โจมตีดูแลเอง แต่ CLOSEDQUORUM กลับสอบถามบริการ AI เชิงพาณิชย์สูงสุด 4 ตัวว่าควรทำอะไรต่อ ได้แก่ DeepSeek, Qwen, Mistral และ Google Gemini ในการร้องขอแต่ละครั้ง มัลแวร์จะส่งข้อมูลพื้นฐานของเครื่อง เช่น ชื่อเครื่อง เวอร์ชัน Windows และสถานะสิทธิ์ผู้ดูแล พร้อมรายการการกระทำที่ตายตัวให้โมเดลเลือก การกระทำมี 4 อย่างคือ steal (ขโมย), inject (ฝังโค้ด), persist (ฝังตัวถาวร) และ move (เคลื่อนที่ในเครือข่าย) โดยในเวอร์ชันสาธารณะ move ยังไม่มีโค้ดรองรับ การเลือกจึงไม่เกิดผลใด ๆ

โมเดลแต่ละตัวต้องตอบในรูปแบบที่กำหนด ไม่เช่นนั้นคำตอบจะถูกทิ้ง มัลแวร์จะนับคำตอบและลงมือทำการกระทำที่ได้เสียงมากที่สุด หากไม่มีโมเดลใดให้คำตอบที่ใช้ได้ มันจะรอแล้วลองใหม่แทนการเลือกการกระทำเป็นค่าเริ่มต้น เพราะโมเดลเป็นผู้ตัดสินใจในแต่ละครั้ง ผู้โจมตีจึงไม่ต้องส่งคำสั่งอีกเมื่อมัลแวร์ทำงานแล้ว แต่ยังคงเห็นการตัดสินใจแต่ละครั้งพร้อมเหตุผลที่โมเดลระบุ ผ่านช่อง Discord โดยมัลแวร์จะโพสต์ข้อมูลเหล่านั้นด้วย Discord webhook ก่อนลงมือ และข้อมูลที่ขโมยได้ก็ถูกส่งไปยังช่องเดียวกัน มัลแวร์แต่ละชุดต้องมี API key และ Discord webhook จริงจึงจะทำงานได้ แต่เวอร์ชันสาธารณะมีเพียงค่าตัวอย่าง จึงติดต่อโมเดลหรือส่งข้อมูลไม่ได้

วิธีการโจมตี

เมื่อการโหวตเลือก steal มัลแวร์จะทำสามอย่างพร้อมกัน คือดัมป์หน่วยความจำของ LSASS ซึ่งเป็นโพรเซสของ Windows ที่เก็บข้อมูลรับรองการล็อกอิน คัดลอกรหัสผ่านที่บันทึกไว้จาก Chrome, Edge และ Firefox และดึงข้อมูลจากกระเป๋าเงินคริปโต MetaMask, Exodus และ Ethereum ส่วนตัวเลือก inject จะรันโค้ดภายในโปรแกรมอื่นด้วยเทคนิค Early Bird APC injection หรือใช้ process hollowing หากโมเดลร้องขอ

ตัวเลือก persist จะตั้งช่องทางให้มัลแวร์เริ่มทำงานเองอัตโนมัติสามทาง ได้แก่ ค่าใน Registry Run key ของผู้ใช้ปัจจุบัน, งานตามกำหนดเวลา (scheduled task) และการสมัครรับเหตุการณ์ WMI ที่เรียกมัลแวร์ทุก 60 วินาที โดยตั้งชื่อค่าและ WMI ให้ดูเหมือน Windows Update เพื่ออำพรางเป็นกิจกรรมปกติของระบบ ก่อนส่งไฟล์ที่ขโมยได้ มัลแวร์จะคัดลอกไฟล์ไปที่ C:\Windows\Temp\ เข้ารหัส และแบ่งเป็นชิ้นละ 1,900 ไบต์ แล้วโพสต์ทีละชิ้นต่อวินาทีไปยังช่อง Discord ของผู้โจมตี ทั้งนี้ Talos เปรียบเทียบว่า CLOSEDQUORUM ต่างจากมัลแวร์ที่ใช้ AI ก่อนหน้าอย่าง LAMEHUG (ที่ CERT-UA ของยูเครนรายงานเมื่อกรกฎาคม 2568) ตรงที่ LAMEHUG ขอให้โมเดล “เขียนคำสั่ง” ตามงานที่กำหนดไว้ในโค้ด ขณะที่ CLOSEDQUORUM ขอให้โมเดล “เลือก” งานเอง

ผลกระทบ

CLOSEDQUORUM เป็นตัวอย่างช่วงแรก ๆ ของแนวโน้มที่ผู้โจมตีมอบส่วนหนึ่งของการโจมตีให้โมเดล AI ตัดสินใจ แม้เวอร์ชันปัจจุบันจะยังใช้งานไม่ได้จริง แต่แนวคิดนี้ท้าทายวิธีตรวจจับแบบเดิมที่พึ่งพาการบล็อกโดเมนหรือ IP ของ C2 เพราะการสั่งการถูกฝากไว้กับบริการ AI เชิงพาณิชย์ที่โปรแกรมทั่วไปก็ใช้กัน อย่างไรก็ตาม การพึ่งพาบริการ AI ก็สร้างจุดอ่อนให้มัลแวร์เช่นกัน เพราะบริการเหล่านั้นอาจปฏิเสธคำขอ จำกัดจำนวนคำขอ หรือส่งผลลัพธ์ที่ใช้ไม่ได้ และมัลแวร์ยังต้องพึ่งพาบริษัทที่ตัวเองควบคุมไม่ได้

คำแนะนำ

Talos แนะนำให้ผู้ป้องกันเฝ้าระวังที่พฤติกรรมมากกว่าการบล็อกโดเมนของบริการ AI เพราะโปรแกรมที่ถูกต้องก็อาจติดต่อ DeepSeek, Mistral, Gemini, Discord หรือ OpenRouter ได้ แต่มีน้อยรายที่จะติดต่อหลายบริการพร้อมกันขณะเข้าถึง LSASS ฝังโค้ดในโพรเซสที่ถูกพัก หรือสร้างการฝังตัวผ่าน WMI สัญญาณที่ควรจับตาได้แก่ ทราฟฟิกไปยังบริการ AI จากโปรแกรม Windows ที่ไม่ควรใช้ AI, คำขอที่คล้ายกันส่งไปหลายผู้ให้บริการในเวลาสั้น ๆ, การฝังโค้ด/เข้าถึง LSASS/สร้างการฝังตัวใหม่, ทราฟฟิก Discord webhook จากโปรแกรมเดียวกัน และกิจกรรมที่วนซ้ำในช่วงเวลาสุ่ม 5-15 นาที Talos เผยแพร่กฎ Snort หมายเลข 1:66984 และกฎ YARA ประกอบ โดยกฎ Snort น่าจะต้องใช้การตรวจสอบ TLS (ถอดรหัสทราฟฟิก HTTPS) จึงจะจับ prompt ของมัลแวร์ได้

Indicators of Compromise (IoCs)

แหล่งอ้างอิง

• This Windows Malware is Built to Let Up to Four AI Models Vote on Its Next Move — The Hacker News
• The Closed Quorum: Inside the First Reported Autonomous AI C2 Implant — Cisco Talos
• Introducing CAIRN: Frontier Tracking for AI-Integrated Malware — Cisco Talos