Кибербезопасность

Недавно задокументированный штамм вредоносного ПО для Windows под названием CLOSEDQUORUM привлекает внимание по причине, которая мало связана с тем, как он заражает машину, и целиком связана с тем, что происходит после. Инс...

26 сентября 2026 г.5 мин чтения

By Сара Чен — Сертификация CEH, опыт в тестировании на проникновение и сетевой безопасности

Недавно задокументированный штамм вредоносного ПО для Windows под названием CLOSEDQUORUM привлекает внимание по причине, которая мало связана с тем, как он заражает машину, и целиком связана с тем, что происходит после. Вместо того чтобы следовать фиксированному сценарию, написанному его операторами, CLOSEDQUORUM обращается к ИИ-моделям, чтобы решить, каким будет его следующий шаг: кража данных, сокрытие своих процессов или закрепление в заражённой системе. Эта разработка является значимым фактом в более широкой истории о вредоносном ПО на базе ИИ, с которым теперь приходится считаться командам по безопасности Windows, и она сигнализирует о том, что защитникам нужно пересмотреть допущения, заложенные во многие традиционные решения для защиты конечных точек.

Чем CLOSEDQUORUM отличается от других

Большинство вредоносных программ, даже изощрённых, по-прежнему работают по предсказуемой модели: атакующий пишет код, выполняющий заданную последовательность действий, либо вредоносное ПО связывается с сервером командования и управления, откуда человек-оператор выдаёт инструкции. CLOSEDQUORUM отходит от этой схемы. Согласно публикациям об этом вредоносном ПО, оно использует ИИ-модели для принятия решений о собственном поведении в реальном времени, выбирая из набора действий, таких как эксфильтрация данных, сокрытие работающих процессов или настройка механизмов выживания после перезагрузки, — и всё это без ожидания команды от атакующего.

Это различие важно. Традиционную инфекцию можно довольно чётко описать: вот что она делает по прибытии, вот что делает дальше, вот с каким сервером связывается. Поведение CLOSEDQUORUM не является фиксированным таким же образом. Поскольку решение генерируется ИИ-моделью во время выполнения, конкретная последовательность действий может различаться между заражениями, даже когда лежащий в основе вредоносный код идентичен. Именно эта изменчивость и затрудняет его выявление с помощью обычных инструментов.

Почему ИИ-автономность опережает традиционный антивирус

Антивирусы на основе сигнатур работают, распознавая известные шаблоны: конкретный хеш файла, фрагмент кода, определённую последовательность вызовов API, связанную с известной угрозой. Этот подход всегда с трудом справлялся с вредоносным ПО, меняющим свою форму, а CLOSEDQUORUM представляет собой ещё более сложный случай. Если действия вредоносного ПО генерируются динамически ИИ-моделью, а не жёстко закодированы, может вообще не существовать единой согласованной «сигнатуры» для обнаружения. Вредоносный умысел остаётся тем же, но путь к его достижению может меняться.

Именно поэтому исследователи безопасности всё больше делают акцент на поведенческом обнаружении, а не на сопоставлении сигнатур. Вместо вопроса «соответствует ли этот файл известному вредоносному шаблону» поведенческие инструменты спрашивают: «делает ли этот процесс то, чего не делало бы легитимное приложение», например, пытается скрыться, повысить привилегии или переместиться по сети. Использование CLOSEDQUORUM ИИ для выбора между кражей данных, сокрытием процессов и тактиками закрепления — это именно та активность, для перехвата которой предназначен поведенческий мониторинг, даже если конкретный отвечающий за неё код никогда прежде не встречался.

Практические шаги по укреплению защиты в средах Windows

Для администраторов Windows и сознательных пользователей ответ на подобное вредоносное ПО — это не единственный продукт-«серебряная пуля», а эшелонированная защита, исходящая из того, что часть угроз преодолеет первичное обнаружение. Выделяются несколько практических приоритетов:

Сегментация сети. Ограничение того, насколько далеко может дотянуться заражённая машина в сети, снижает ущерб, даже если вредоносное ПО закрепится, поскольку оно не сможет легко перейти на другие системы или добраться до хранилищ конфиденциальных данных.
Доступ с наименьшими привилегиями. Учётные записи и приложения должны иметь только те разрешения, которые им действительно нужны. Это ограничивает то, чего может достичь автономное вредоносное ПО, даже если оно успешно решит попытаться украсть данные или получить более глубокий доступ к системе.
Непрерывный поведенческий мониторинг. Инструменты, отмечающие необычное поведение процессов, неожиданные механизмы закрепления или аномальную передачу данных, могут перехватывать вредоносное ПО на базе ИИ, не соответствующее ни одной известной сигнатуре.
Патчинг и укрепление конечных точек. Сокращение поверхности атаки, с которой изначально приходится работать ИИ-модели, остаётся одной из самых эффективных защит, независимо от того, насколько изощрённым становится принятие решений вредоносным ПО.

Что это значит для вас

Для обычных пользователей Windows появление вредоносного ПО, управляемого ИИ, не обязательно означает, что непосредственная угроза для домашнего ПК кардинально изменилась за одну ночь. Но это признак того, куда движется более широкий ландшафт угроз, и это подкрепляет привычки, которые всегда были хорошей практикой: поддерживайте системы в актуальном состоянии, избегайте запуска программ с большими привилегиями, чем необходимо, и скептически относитесь к неожиданным загрузкам или вложениям. Для организаций более важный вывод в том, что реактивные защиты на основе сигнатур всё чаще оказываются недостаточными сами по себе. Как подробно описано в материале о том, как выбор целей программами-вымогателями следует за вероятностью выплаты, а не за известностью, атакующие уже тяготеют к любому подходу, максимизирующему эффективность и выплату. Вредоносное ПО, способное автономно выбирать собственные тактики, идеально вписывается в этот шаблон, поскольку устраняет задержку в ожидании ввода от человека-оператора и позволяет инфекции адаптироваться на ходу.

Взгляд в будущее защиты конечных точек и сети

CLOSEDQUORUM вряд ли станет последним вредоносным ПО, передающим право принятия решений ИИ-модели. По мере того как эти модели становятся дешевле и их проще встраивать во вредоносный код, командам по безопасности следует ожидать больше вариантов, которые адаптируют своё поведение в ходе атаки, а не следуют статичному сценарию. Этот сдвиг усиливает аргументы в пользу стратегий защиты, построенных вокруг мониторинга поведения и ограничения радиуса поражения, а не опирающихся исключительно на распознавание известных вредоносных файлов.

Главный урок из CLOSEDQUORUM не в том, что вредоносное ПО для Windows на базе ИИ внезапно стало неуправляемым, а в том, что основы хорошей кибергигиены — сегментация, наименьшие привилегии и поведенческий мониторинг — важны как никогда, когда на другом конце может находиться вовсе не человек, набирающий команды, а алгоритм, выбирающий их в реальном времени. И пользователям Windows, и ИТ-командам стоит воспринять это как напоминание о необходимости пересмотреть средства контроля доступа, убедиться, что инструменты мониторинга смотрят на поведение, а не только на сигнатуры, и обеспечить наличие сегментации сети до, а не после того, как инфекция укоренится.

FAQ: Q1: Что такое CLOSEDQUORUM? A1: CLOSEDQUORUM — это недавно задокументированный штамм вредоносного ПО для Windows, который обращается к ИИ-моделям, чтобы решить, каким будет его следующий шаг после заражения машины. Оно может выбирать такие действия, как кража данных, сокрытие своих процессов или закрепление в системе. Q2: Чем CLOSEDQUORUM отличается от традиционного вредоносного ПО? A2: Большинство вредоносных программ следует фиксированной последовательности действий или ожидает инструкций от сервера командования и управления, тогда как CLOSEDQUORUM использует ИИ-модели для принятия решений о своём поведении в реальном времени. Поскольку решение генерируется ИИ-моделью во время выполнения, конкретная последовательность его действий может различаться между заражениями, даже когда лежащий в основе код идентичен. Q3: Почему CLOSEDQUORUM трудно обнаружить традиционному антивирусу? A3: Антивирусы на основе сигнатур полагаются на распознавание известных шаблонов, таких как хеши файлов или конкретные последовательности кода, но действия CLOSEDQUORUM генерируются динамически, а не жёстко закодированы. Это означает, что единой согласованной сигнатуры для обнаружения может не существовать. Q4: Какой подход к обнаружению лучше работает против CLOSEDQUORUM? A4: Поведенческое обнаружение эффективнее, потому что оно спрашивает, делает ли процесс то, чего не делало бы легитимное приложение, а не сопоставляет известные вредоносные шаблоны. Выбор CLOSEDQUORUM под управлением ИИ между кражей данных, сокрытием процессов и тактиками закрепления — это именно та активность, для перехвата которой предназначен поведенческий мониторинг. Q5: Что CLOSEDQUORUM означает для команд по безопасности Windows? A5: Это значимый факт в более широкой истории о вредоносном ПО на базе ИИ, с которым теперь приходится считаться командам по безопасности Windows. Он сигнализирует о том, что защитникам нужно пересмотреть допущения, заложенные в традиционные решения для защиты конечных точек. ---END---

// FAQ

Что такое CLOSEDQUORUM?

CLOSEDQUORUM — это недавно задокументированный штамм вредоносного ПО для Windows, который обращается к ИИ-моделям, чтобы определить свои дальнейшие действия после заражения машины. Он может выбирать такие действия, как кража данных, сокрытие своих процессов или закрепление в системе.

Чем CLOSEDQUORUM отличается от традиционного вредоносного ПО?

Большинство вредоносных программ следует фиксированной последовательности действий или ожидает инструкций от командно-управляющего сервера, тогда как CLOSEDQUORUM использует ИИ-модели для принятия решений о своём поведении в реальном времени. Поскольку ИИ-модель генерирует решения во время выполнения, конкретная последовательность его действий может различаться между заражениями, даже если базовый код идентичен.

Почему CLOSEDQUORUM трудно обнаружить традиционным антивирусам?

Антивирусы, основанные на сигнатурах, полагаются на распознавание известных шаблонов, таких как хэши файлов или конкретные последовательности кода, но действия CLOSEDQUORUM генерируются динамически, а не жёстко заданы. Это означает, что единой стабильной сигнатуры для обнаружения может не существовать.

Какой подход к обнаружению работает лучше против CLOSEDQUORUM?

Поведенческое обнаружение более эффективно, поскольку оно проверяет, делает ли процесс что-то, чего не стал бы делать легитимный application, а не сопоставляет известные вредоносные шаблоны. Выбор CLOSEDQUORUM на основе ИИ среди тактик кражи данных, сокрытия процессов и закрепления — это именно та активность, для выявления которой предназначен поведенческий мониторинг.

Что CLOSEDQUORUM сигнализирует командам по безопасности Windows?

Это значимая точка данных в более широкой истории о вредоносном ПО на основе ИИ, с которой командам по безопасности Windows теперь приходится считаться. Это сигнализирует о том, что защитникам необходимо пересмотреть допущения, заложенные в традиционную защиту конечных точек.