CLOSEDQUORUM คืออะไร และระบบโหวตด้วย AI ของมันทำงานอย่างไร

มัลแวร์ Windows ที่เพิ่งมีการบันทึกไว้ใหม่ในชื่อ CLOSEDQUORUM กำลังได้รับความสนใจ ไม่ใช่เพราะสิ่งที่มันทำไปแล้ว แต่เป็นเพราะวิธีที่มันถูกออกแบบมาให้ "คิด" แทนที่จะทำตามชุดคำสั่งตายตัว CLOSEDQUORUM reportedly จะสอบถามโมเดล AI แยกกันสูงถึงสี่ตัว และให้พวกมัน "โหวต" ว่าก้าวต่อไปของมันควรเป็นอะไร: จะขโมยข้อมูล จะฉีดตัวเองเข้าไปในโปรเซสอื่น หรือจะฝังตัวอยู่ระยะยาวบนเครื่องที่ติดเชื้อ

แนวทางนี้พลิกโมเดลการพัฒนามัลแวร์แบบเดิมๆ กลับหัวกลับหาง โค้ดอันตรายแบบดั้งเดิมถูกเขียนด้วยตรรกะที่กำหนดไว้ล่วงหน้า: ถ้าเงื่อนไข A เกิดขึ้น ให้ดำเนินการ B สถาปัตยกรรมของ CLOSEDQUORUM กลับมองแต่ละระบบที่ติดเชื้อเป็นจุดตัดสินใจ ปรึกษาโมเดล AI หลายตัว และลงมือทำตามแนวทางที่ได้รับการสนับสนุนมากที่สุด ในทางทฤษฎี สิ่งนี้อาจทำให้มัลแวร์ปรับพฤติกรรมตามสภาพแวดล้อมเฉพาะที่มันไปตกอยู่ แทนที่จะพึ่งพาคู่มือแบบใช้ได้กับทุกสถานการณ์

นี่เป็นแนวคิดที่นักวิจัยด้านความปลอดภัยเตือนมาระยะหนึ่งแล้ว: มัลแวร์ที่ใช้ AI ช่วยหรือขับเคลื่อนด้วย AI ซึ่งไม่เพียงแค่ทำงานอัตโนมัติ แต่ตัดสินใจตามบริบท CLOSEDQUORUM ดูเหมือนจะเป็นหนึ่งในตัวอย่างที่เป็นรูปธรรมและมีการบันทึกไว้เป็นชิ้นแรกๆ ของแนวคิดนี้ที่ปรากฏในโลกจริง แม้จะอยู่ในรูปแบบเริ่มต้นและยังไม่สมบูรณ์

ทำไมบิลด์สาธารณะที่ใช้งานไม่ได้จึงไม่ได้หมายถึงความเสี่ยงต่ำ

นี่คือข้อควรระวังสำคัญ: เวอร์ชันสาธารณะของ CLOSEDQUORUM ใช้งานไม่ได้จริง นักวิจัยที่ตรวจสอบตัวอย่างพบว่ามันไม่ทำงานในรูปแบบที่เผยแพร่ หมายความว่าปัจจุบันมันไม่สามารถดำเนินการขโมย ฉีดโค้ด หรือฝังตัว ที่ระบบโหวตด้วย AI ถูกออกแบบมาให้เลือกระหว่างนั้นได้

นั่นเป็นเรื่องน่าบรรเทาในระยะสั้น แต่ไม่ควรตีความว่าแนวโน้มนี้มองข้ามได้ การพัฒนามัลแวร์ก็เหมือนการพัฒนาซอฟต์แวร์ส่วนใหญ่ คือมีแนวโน้มจะวนทำซ้ำ ต้นแบบที่พังวันนี้อาจกลายเป็นเพย์โหลดที่ทำงานได้ในอีกไม่กี่เดือน โดยเฉพาะเมื่อนักโจมตีรายอื่นได้โค้ดไป แพตช์ และปรับแต่งให้พร้อมใช้งานจริง การค้นพบ CLOSEDQUORUM ถือเป็นการแจ้งล่วงหน้าแก่ฝ่ายป้องกันและนักวิจัยถึงเทคนิคที่อาจพัฒนาเต็มรูปแบบในไม่ช้า

ยังมีรูปแบบที่กว้างกว่าที่น่าสังเกต ตัวติดตั้งซอฟต์แวร์ปลอมหรือที่ถูกฝังโทรจันยังคงเป็นหนึ่งในวิธีที่พบบ่อยและได้ผลที่สุดที่มัลแวร์เข้าถึงผู้ใช้ Windows ทั่วไปในตอนนี้ ก่อนที่การตัดสินใจด้วย AI จะเข้ามาเกี่ยวข้องด้วยซ้ำ แคมเปญล่าสุดตัวอย่างเช่นใช้ตัวติดตั้ง CCleaner ปลอมเพื่อแพร่ GhostDesk Chrome spyware หลอกให้คนติดตั้งมัลแวร์ขโมยข้อมูลรับรองที่ปลอมเป็นยูทิลิตี้ที่คุ้นเคยและเชื่อถือได้ กลไกโหวตด้วย AI ของ CLOSEDQUORUM อาจเป็นของใหม่และทดลอง แต่ช่องทางที่นำมัลแวร์เข้าสู่เครื่องตั้งแต่แรกนั้นไม่ได้เปลี่ยนไปมากนัก และมันได้ผลอยู่แล้ว

การขโมยข้อมูลรับรองและการฝังตัว: เป้าหมายที่แท้จริง

ไม่ว่าการตัดสินใจจะจัดการด้วยตรรกะฝังตายตัวหรือคณะโหวต AI เป้าหมายปลายทางที่อธิบายไว้สำหรับ CLOSEDQUORUM ก็สอดคล้องกับสิ่งที่มัลแวร์ Windows สมัยใหม่ส่วนใหญ่ต้องการ: ขโมยข้อมูลรับรอง ฉีดเข้าไปในโปรเซสที่ถูกต้องเพื่อหลบเลี่ยงการตรวจจับ และสร้างการฝังตัวเพื่อให้การติดเชื้อยังอยู่รอดหลังรีบูตและทำงานต่อไปโดยไม่ถูกตรวจพบ

การขโมยข้อมูลรับรองโดยเฉพาะยังคงเป็นหนึ่งในผลลัพธ์ที่สร้างความเสียหายมากที่สุดของการติดมัลแวร์ ชื่อผู้ใช้ รหัสผ่าน โทเค็นเซสชันของเบราว์เซอร์ และข้อมูลล็อกอินที่บันทึกไว้ที่ถูกขโมยไปสามารถใช้ยึดบัญชี ฉ้อโกงทางการเงิน หรือเป็นฐานสำหรับการโจมตีเครือข่ายขององค์กรต่อไป กลไกการฝังตัวยิ่งซ้ำเติมปัญหาโดยทำให้มัลแวร์ยังทำงานอยู่เนิ่นนานหลังการติดเชื้อครั้งแรก มักไม่มีอาการชัดเจนที่จะทำให้ผู้ใช้รู้ว่ามีอะไรผิดปกติ

การที่ระบบโหวตของ CLOSEDQUORUM ถูกสร้างขึ้นรอบสามหมวดหมู่เหล่านี้อย่างชัดเจน คือการขโมย การฉีดโค้ด และการฝังตัว บ่งชี้ว่าผู้เขียนออกแบบมุ่งไปที่วัตถุประสงค์เดียวกับที่ขับเคลื่อนอาชญากรรมไซเบอร์ส่วนใหญ่ในปัจจุบัน: การเข้าถึงข้อมูลและระบบที่มีค่าแบบเงียบๆ และต่อเนื่อง

สร้างการป้องกันหลายชั้น: VPN เครื่องมือ Endpoint และพฤติกรรมปลอดภัย

ไม่มีเครื่องมือใดเพียงอย่างเดียวที่บล็อกทุกภัยคุกคาม และนั่นยิ่งจริงเมื่อผู้เขียนมัลแวร์ทดลองใช้การตัดสินใจที่ขับเคลื่อนด้วย AI กลยุทธ์การป้องกันหลายชั้นยังคงเป็นแนวทางที่เชื่อถือได้มากที่สุดสำหรับผู้ใช้ Windows ทั่วไป

ซอฟต์แวร์แอนติไวรัสและป้องกัน endpoint ที่อัปเดตอยู่เสมอยังคงเป็นข้อกำหนดพื้นฐาน เพราะ它可以จับลายเซ็นมัลแวร์ที่รู้จักและตั้งธงพฤติกรรมน่าสงสัยก่อนที่จะลุกลาม VPN เพิ่มชั้นป้องกันอีกชั้นด้วยการเข้ารหัสทราฟฟิกอินเทอร์เน็ต ทำให้โจมตีดักจับข้อมูลรับรองหรือข้อมูลเซสชันระหว่างทางได้ยากขึ้น ถึงแม้จะไม่หยุดมัลแวร์ที่ทำงานอยู่ในเครื่องแล้ว การอัปเดตระบบปฏิบัติการและแอปพลิเคชันให้เป็นแพตช์ล่าสุดปิดช่องโหว่มากมายที่มัลแวร์ใช้สำหรับการฉีดโค้ดและการฝังตัว

สิ่งที่สำคัญไม่แพ้กันคือพฤติกรรมเกี่ยวกับสิ่งที่คุณติดตั้งตั้งแต่แรก การดาวน์โหลดซอฟต์แวร์จากแหล่งทางการเท่านั้น การตรวจสอบตัวติดตั้งก่อนรัน และการตั้งข้อสงสัยต่อเวอร์ชัน "ฟรี" ของเครื่องมือที่ต้องจ่ายเงิน ล้วนลดการสัมผัสกับแคมเปญตัวติดตั้งที่ถูกฝังโทรจันซึ่งยังคงส่งมัลแวร์จริงที่ทำงานได้ในปัจจุบัน

สิ่งนี้หมายความว่าอะไรสำหรับคุณ

บิลด์สาธารณะที่ใช้งานไม่ได้ของ CLOSEDQUORUM หมายความว่าไม่มีภัยคุกคามที่ยังคุกรุ่นอยู่ซึ่งผูกกับตัวอย่างมัลแวร์นี้โดยเฉพาะ แต่การออกแบบของมันเป็นภาพตัวอย่างว่าเส้นทางของ malware development กำลังมุ่งไปทางไหน: ไปสู่เครื่องมือที่สามารถปรับพฤติกรรมแบบเรียลไทม์ด้วย AI แทนที่จะพึ่งตรรกะตายตัวที่คาดเดาได้ซึ่งซอฟต์แวร์ความปลอดภัยเรียนรู้ที่จะตรวจจับได้ง่ายกว่า ผู้ใช้ Windows ไม่จำเป็นต้องตื่นตระหนกกับ proof-of-concept ที่พังอยู่ แต่ควรถือเป็นสัญญาณเริ่มต้นว่าภูมิทัศน์มัลแวร์กำลังวิวัฒน์เร็วกว่าที่การป้องกันจำนวนมากถูกออกแบบมารองรับ

ข้อควรปฏิบัติ

  • รักษาเครื่องมือแอนติไวรัสและป้องกัน endpoint ให้ทันสมัย และตรวจสอบว่าเปิดการอัปเดตอัตโนมัติไว้
  • ใช้ VPN ที่น่าเชื่อถือเป็นหนึ่งชั้นของกลยุทธ์ความปลอดภัยที่กว้างกว่า ไม่ใช่ทางแก้เดียว
  • ดาวน์โหลดซอฟต์แวร์จากเว็บไซต์ผู้จำหน่ายอย่างเป็นทางการหรือร้านแอปที่ได้รับการยืนยันเท่านั้น และตรวจสอบตัวติดตั้งซ้ำก่อนรัน
  • ตื่นตัวต่อแคมเปญที่ใช้ชื่อซอฟต์แวร์ที่เชื่อถือได้เป็นเหยื่อล่อ ดังที่เห็นกับตัวติดตั้ง CCleaner ปลอมที่แพร่ GhostDesk spyware
  • ติดตามรายงานความปลอดภัยที่น่าเชื่อถือเกี่ยวกับการพัฒนามัลแวร์ที่ใช้ AI ช่วยอย่าง CLOSEDQUORUM เพราะ proof-of-concept ที่ยังใช้งานไม่ได้วันนี้อาจกลายเป็นภัยคุกคามที่ทำงานได้จริงในวันพรุ่งนี้