#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
CLOSEDQUORUM — это имплант для Windows, написанный на языке Go, который использует несколько коммерческих LLM для автономного выбора атакующих действий, таких как кража учётных данных, внедрение кода в процессы и закрепление. Он собирает сведения об узле, сравнивает рекомендации моделей, выполняет наиболее часто встречающееся решение и выводит зашифрованные данные и телеметрию через вебхук Discord. Развёртывание в реальных условиях не подтверждено.
-----

CLOSEDQUORUM — это 64-разрядный имплант для Windows размером 16,4 МБ, написанный на языке Go, который делегирует тактические решения по управлению коммерческим большим языковым моделям (LLM). Развёртывание в реальных условиях не подтверждено. Проанализированный бинарный файл поддерживает интеграцию с DeepSeek, Qwen, Mistral и Google Gemini, последовательно опрашивая до четырёх провайдеров. Их ответы возвращаются в ограниченном формате JSON, а имплант выбирает наиболее часто рекомендуемое действие. В случае равенства голосов решение принимается детерминированно в соответствии с приоритетом провайдеров: DeepSeek, Qwen, Mistral, затем Gemini.

ВПО предоставляет каждой модели информацию об узле, включая имя хоста, архитектуру операционной системы, количество процессоров, версию Windows, статус администратора и процесс, на который в данный момент нацелено вредоносное ПО. Доступные решения включают `steal`, `inject`, `persist` и `move`, при этом для `move` в проанализированной сборке отсутствует обработчик. Действие `steal` одновременно инициирует извлечение дампа LSASS, извлечение учётных данных из браузера и сбор данных криптографических кошельков. Действие `inject` генерирует шеллкод и выполняет либо Внедрение в пустой процесс с использованием реализации обхода PEB, либо раннее внедрение APC, в зависимости от выбранного типа внедрения. Действие `persist` обеспечивает закрепление, в то время как информация о системе собирается на этапе инициализации.

Украденные данные шифруются с помощью AES-256-GCM и передаются на Discord-webhook, контролируемый оператором, в виде base64-кодированного содержимого. Имплант также отправляет на webhook результаты принятия решений и телеметрию выполнения. Проанализированный бинарный файл для распространения содержит плейсхолдеры для API-ключей и плейсхолдер для webhook, что указывает на необходимость получения операторами кастомной сборки, в которой учетные данные и параметры webhook встраиваются на этапе компиляции. Такая архитектура исключает необходимость в выделенном C2-сервере, управляемом злоумышленником, или в постоянном ручном управлении задачами.

Среди потенциальных сигналов обнаружения: неожиданный трафик API от исполняемого файла Windows к нескольким провайдерам LLM, структурированные запросы, содержащие контекст хоста или терминологию, связанную с наступательными возможностями, активность вебхуков Discord от того же процесса, а также одновременное использование доступа к LSASS, кражи учётных данных из браузера, внедрения кода в процессы или механизмов закрепления. Повторное выполнение с интервалами от пяти до пятнадцати минут, варьирующимися случайным образом, также может указывать на автономный цикл принятия решений импланта.