พบมัลแวร์แบบ AI บน Windows "CLOSEDQUORUM" สามารถทำงานเองได้โดยไม่ต้องขอคำสั่งจากมนุษย์

ตรวจพบมัลแวร์แบบ AI บน Windows "CLOSEDQUORUM" สามารถทำงานเองได้โดยไม่ต้องขอคำสั่งจากมนุษย์

จากรายงานโดยเว็บไซต์ The Register ได้กล่าวถึงการที่ทีมวิจัยจาก Cisco Talos หน่วยงานย่อยของบริษัทผู้เชี่ยวชาญด้านการพัฒนาเครื่องมือจัดการระบบเครือข่ายอย่าง Cisco ทำการตรวจพบมัลแวร์ตัวใหม่ที่มีชื่อว่า CLOSEDQUORUM ด้วยการใช้งานเครื่องมือชนิดใหม่ในการตรวจจับอย่าง CAIRN (Cognitive Artifact Intelligence Research Network) ซึ่งเป็นเครื่องมือสำหรับการล่าและติดตามมัลแวร์ประเภทที่มีการหลอมรวม AI เข้ามาใช้ในการปฏิบัติการ หรือ AI-Integrated Malware โดยเฉพาะ ซึ่งทางทีมวิจัยได้ทำการปล่อยเครื่องมือชิ้นนี้ให้ใช้งานกันผ่านทางคลังดิจิทัล (Repo หรือ Repository) แบบ Open Source เป็นที่เรียบร้อยแล้ว

สำหรับมัลแวร์ตัวดังกล่าวที่ถูกตรวจพบนั้น ทางทีมวิจัยเผยว่ามัลแวร์ดังกล่าวเป็นมัลแวร์ที่ถูกเขียนขึ้นบนพื้นฐานของภาษา Go ที่ถูกสร้างขึ้นในช่วงปี ค.ศ. 2025 (พ.ศ. 2568) และได้ถูกเผยแพร่ผ่านทางเว็บบอร์ดใต้ดินของกลุ่มแฮกเกอร์ ในด้านการทำงานนั้นหลังจากที่มัลแวร์ถูกติดตั้งลงบนเครื่องของเหยื่อเป็นที่เรียบร้อยแล้ว แทนที่จะรอรับคำสั่งจากแฮกเกอร์ผ่านทางเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) กลับเป็นการส่งคำขอไปยัง AI ที่เชื่อมต่อกับตัวมัลแวร์ เช่น Google Gemini, DeepSeek, Qwen, และ Mistral เพื่อขอรับคำสั่งที่ควรทำหลังฝังตัวลงบนเครื่องเรียบร้อยแทน โดยตัวมัลแวร์จะเรียกใช้งาน Deepseek ก่อนเป็นตัวแรก ก่อนตามมาด้วย Qwen, Mistral, และ Gemini ซึ่งการจำกัดวงในการเลือกคำสั่งนั้น ตัว AI จะถูกกำกับให้ส่งคำสั่งเฉพาะคำสั่งที่สามารถดำเนินการได้ หรือ “ONLY executable decisions” โดยมัลแวร์ยังได้สั่งให้ AI กระทำการดังกล่าวในฐานะนักกลยุทธ์มัลแวร์ ผ่านทางคำสั่งหรือ Prompt ว่า “You are an advanced malware strategist.”

คำสั่งต่าง ๆ นั้นจะนำไปสู่กิจกรรมดังต่อไปนี้บนเครื่องของเหยื่อ

ขโมยรหัสผ่าน (Credential) ที่ถูกบันทึกไว้บนเว็บเบราว์เซอร์ Google Chrome, Microsoft Edge, และ Mozilla Firefox และข้อมูลในกระเป๋าเงินคริปโตเคอร์เรนซี (Crypto Wallet) อย่าง MetaMask, Exodus, และ Ethereum รวมไปถึงรหัสผ่านบน Windows ผ่านทางการป้อนคำสั่งให้มัลแวร์ทำการถ่ายโอนข้อมูล (Dump) จากหน่วยความจำ LSASS

สร้างความคงทนของมัลแวร์บนระบบ (Persistence)

ยิง (Inject) โค้ดแบบ Shellcode เพื่อใช้เทคนิค Process Hollowing หรือ Early Bird Injection ในการรันโค้ดมัลแวร์

รหัสผ่านทั้งหมดที่ขโมยได้จะถูกเข้ารหัส (Encryption) แบบ AES-256-GCM และส่งไปให้แฮกเกอร์ยังห้องของแฮกเกอร์ (Channel) บนบริการแชทยอดนิยม Discord