首页/新闻资讯/正文详情

深夜的Windows 11开始自己“投票”偷密码:思科Talos揭开AI恶意软件ClosedQuorum的自主入侵真相

发布时间:2026/9/24 15:52:33 来源:云帆数科 栏目:资讯中心
深夜的Windows 11开始自己“投票”偷密码:思科Talos揭开AI恶意软件ClosedQuorum的自主入侵真相
如果你的 Windows 11 电脑在深夜突然“自己拿主意”决定是先翻浏览器里的登录密码还是先摸走加密钱包别急着怀疑科幻片桥段。思科 Talos 在 9 月 22 日扔出一颗深水炸弹一款名叫 ClosedQuorum 的 AI 恶意软件正在把入侵后的关键选择交给大模型投票决定。它不等你远程下命令也不要一个固定的黑客服务器一直在线真正可怕的是它把攻击者最耗时间的“判断”环节压缩成几次 API 调用。ClosedQuorum 的目标环境写得很明白主要盯着 Windows 11。它本体是一个用 Go 语言编译的 64 位 Windows 可执行文件体积约 16.4MB表面看不算精巧内核思路却足够让防守方后背发凉。过去恶意软件再凶也大多要回家请示连上 C2 服务器取一段指令再照着做。ClosedQuorum 偏偏把这个“家”拆掉了转而请来四位外部智囊——谷歌 Gemini、DeepSeek、Qwen 和 Mistral。机器一旦落地它先收集宿主环境信息把上下文塞进提示词再依次询问多家模型下一步该偷、该注、该留还是该横向走所谓“投票”并不是四个模型坐下来开圆桌会。每个模型只能在一个固定菜单里做选择选项被约束在 steal、inject、persist、move 这四个词附近票数多数者胜出若出现平局优先级被写死为 DeepSeek 最先随后是 Qwen、Mistral最后才是 Gemini。Talos 把这层机制叫做把战术指挥与控制决策委托给一组商业大语言模型也正因为这一点它被描述为首个公开记录、把战术 C2 交给模型面板的 Windows 植入程序。换句话说AI 没有现场写病毒它在人类作者画好的笼子里挑选下一步可问题在于笼子外连着真金白银。一旦“偷”字中标动作会非常脏且非常熟。它同时去碰 LSASS 内存翻 Chrome、Edge、Firefox 里保存的账号密码再顺手掏向 MetaMask、Exodus、以太坊相关钱包。选“注”就生成 shellcode走进程镂空或 Early Bird APC 注入选“留”就拉起持久化模块。至于 move理论上被放进了菜单Talos 分析到的公开构建却没有对应处理逻辑暂时更像一个留到后面的空按钮。战利品不会明晃晃走奇怪端口而是经 AES-256-GCM 加密后拆成小块通过 Discord webhook 回传给运营者Discord 还顺便承担遥测报告模型刚才选了什么、理由是什么。执行节奏也被刻意打散初始延迟大约五分钟之后按随机 5 到 15 分钟循环像是为了熬过沙箱的观察窗口。为了少留脚印它还会覆盖 EtwEventWrite硬生生掐掉一部分 Windows 事件追踪。这套东西真正刺痛行业的不是单项技术多新而是瓶颈换了位置。以往防守队擅长拉黑域名、封 IP、喂威胁情报因为传统 C2 总得有个落脚点。ClosedQuorum 把落脚点搬进了 DeepSeek、Qwen、Mistral、Gemini 的 API 端点——那些正是无数正经企业应用每天都在呼叫的地址。你总不能把大模型服务整站屏蔽否则正常业务先撞墙。检测被迫从“认门牌号”改成“看行为链”同一个 Windows 进程在短时间内以结构化提示词连续访问多家模型提示词里带着主机语境和攻击能力措辞紧接着伴随 LSASS 读取、进程挂起注入、Discord webhook 外传再叠加毫无规律的 5 到 15 分钟心跳这一串拼起来才像 ClosedQuorum单拆任何一块都容易淹没在噪声里。也得把话说稳。Talos 目前并没有确认它已在野外规模化部署分析样本里的 API key 还是占位符更像等待买家定制的模板但样本并非凭空玩具开发者痕迹能关联到 2025 年的犯罪论坛发帖且团队在约一周跨度里抓到六个构建说明迭代很快。它由 Talos 新放出的 CAIRN 计划捞到这个开源框架不急着跑二进制而是专挑“认知痕迹”——提示词模板、提供商端点、API key、越狱词、本地模型运行时——再用采集过滤器、YARA 分层规则、嵌入聚类去串联相似样本。名字取的是登山者叠石标路的意象意思很直白凡是把 AI 揉进攻击链的人都会在路上留下自己的石头。对普通 Windows 用户恐慌没必要松劲更不行。关闭没必要的浏览器密码保存给重要账号上多因素认证系统补丁别拖MetaMask 这类钱包别在主用机里裸奔收到可执行文件先查信誉再双击企业侧则该立刻梳理哪些进程有资格访问多家 LLM API给异常调用、LSASS 触碰和 Discord 外传做行为关联告警。ClosedQuorum 还谈不上成熟到横扫全网可“模型 quorum 当 C2”的门一旦被推开复制它不需要天才只需要几周工程量和一把编译器。过去是黑客睡着攻击就慢下来从今以后真正下线的是人而机器还在投票。

相关推荐

Sunshine:自托管游戏串流服务器的上手指南
Sunshine:自托管游戏串流服务器的上手指南

Sunshine:自托管游戏串流服务器的上手指南 【免费下载链接】Sunshine Self-hosted game stream host for Moonlight. 项目地址: https://gitcode.com/GitHub_Trending/su/Sunshine Sunshine 是一个开源的自托管游戏串流服务器,它把你现有的游戏 P… · 2026/9/24 15:52:33

S7-200 SMART PLC通讯故障排查:IP配置与网线连接全指南
S7-200 SMART PLC通讯故障排查:IP配置与网线连接全指南

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/9/24 15:52:33

Beekeeper Studio 多语言怎么配:一份避坑清单
Beekeeper Studio 多语言怎么配:一份避坑清单

Beekeeper Studio 多语言怎么配:一份避坑清单 【免费下载链接】beekeeper-studio Modern and easy to use SQL client for MySQL, Postgres, SQLite, SQL Server, and more. Linux, MacOS, and Windows. 项目地址: https://gitcode.com/GitHub_Trending/be/beekee… · 2026/9/24 15:52:33

大麦抢票教程:3步配好抢票自动化脚本,如何把成功率拉满
大麦抢票教程:3步配好抢票自动化脚本,如何把成功率拉满

大麦抢票教程:3步配好抢票自动化脚本,如何把成功率拉满 【免费下载链接】ticket-purchase 大麦自动抢票,支持人员、城市、日期场次、价格选择 项目地址: https://gitcode.com/GitHub_Trending/ti/ticket-purchase 开票一秒&#xff0c… · 2026/9/24 16:33:58

西安24小时自助健身房解决方案:技术架构与实战部署指南
西安24小时自助健身房解决方案:技术架构与实战部署指南

西安24小时自助健身房解决方案:技术架构与实战部署指南 1. 场景概述与核心需求分析 西安作为西北地区的中心城市,健身行业正在经历从“传统人工值守”向“无人化、智能化”的转型。24小时自助健身房的核心痛点在于:如何在无店员值守场景下实现… · 2026/9/24 16:33:52

RE2 正则表达式库实战指南:安全优先的线性时间匹配引擎及其 C++ API 与安装部署
RE2 正则表达式库实战指南:安全优先的线性时间匹配引擎及其 C++ API 与安装部署

RE2 正则表达式库实战指南:安全优先的线性时间匹配引擎及其 C API 与安装部署 【免费下载链接】re2 RE2 is a fast, safe, thread-friendly alternative to backtracking regular expression engines like those used in PCRE, Perl, and Python. It is a C library… · 2026/9/24 16:33:52

轻量级离线翻译:无网也能秒翻
轻量级离线翻译:无网也能秒翻

轻量级离线翻译:无网也能秒翻 【免费下载链接】argos-translate Open-source offline translation library written in Python 项目地址: https://gitcode.com/GitHub_Trending/ar/argos-translate 出差住酒店,Wi-Fi 一断,手机里的在线… · 2026/9/24 16:33:52

Yii2 别名(Aliases)完全指南:从 `@` 符号到路径/URL 解析的底层机制
Yii2 别名(Aliases)完全指南:从 `@` 符号到路径/URL 解析的底层机制

后端Web框架 【免费下载链接】yii2 Yii 2: The Fast, Secure and Professional PHP Framework 项目地址: https://gitcode.com/gh_mirrors/yi/yii2 点击查看 免费下载 别名(Aliases)是 Yii 2 框架中表示文件路径和 URL 的轻量级符号机制&… · 2026/9/24 16:33:39

文化课教培数字化:课时自动核算 + 家校互动提升续费率完整方案
文化课教培数字化:课时自动核算 + 家校互动提升续费率完整方案

前言中小教培机构数字化转型,很多校长最先想到的功能是排课、消课,但在长期运营过程中,两个痛点会持续消耗机构大量人力成本:一是每月教师课时薪酬核算,二是老生续课留存。 尤其是文化课学科机构,课程类型复… · 2026/9/24 16:33:27

基于YOLOv8的渔船作业监控系统:从环境搭建到边缘部署全流程
基于YOLOv8的渔船作业监控系统:从环境搭建到边缘部署全流程

简介:这是一套面向计算机、人工智能、自动化等专业学生与教师的毕业设计级项目资源,围绕YOLOv8实现渔船作业监控系统,可用于毕设、课程设计、大作业或项目立项演示。压缩包共97个文件,约24.21MB,以70个Python源码文件为… · 2026/9/24 0:00:13

1D-CNN时间序列建模实战:从Conv1d原理到工业落地
1D-CNN时间序列建模实战:从Conv1d原理到工业落地

简介:面向时间序列数据建模的一维卷积神经网络完整实现,适合深度学习入门者及需要快速验证时序模型的研究者,能够从音频、文本、传感器或股价等序列中挖掘局部特征与时间依赖。压缩包体积很小,只有3KB,内含3个Python脚… · 2026/9/24 0:00:26

柔软的L:汉语语流中被忽视的舌肌张力控制
柔软的L:汉语语流中被忽视的舌肌张力控制

1. 这个“L”不是字母表里的L,而是舌尖上的L最近在几个方言群和语音教学社群里,反复看到有人发一句:“也说字母L:柔软的长舌”。初看以为是英语发音课笔记,点开才发现全是方言爱好者、播音系学生、语言康复师甚至戏曲演… · 2026/9/24 0:00:44

了解更多?预约专属演示

我们的顾问将为您一对一讲解产品与方案

企业微信二维码