KI-gesteuerte Malware: ClosedQuorum lässt vier Modelle abstimmen

KI-gesteuerte Malware war bisher vor allem ein Schlagwort in Marketing-Folien. Cisco Talos hat am 22. September 2026 einen Schädling beschrieben, bei dem es stimmt: CLOSEDQUORUM fragt vor jedem Schritt bis zu vier kommerzielle Sprachmodelle, lässt sie abstimmen und führt aus, was die meisten Stimmen bekommt. Talos nennt es nach eigenem Kenntnisstand das erste öffentlich dokumentierte Windows-Implantat, das taktische Entscheidungen der Steuerzentrale an ein Gremium von KI-Modellen abgibt.

Wie die KI-gesteuerte Malware entscheidet

Technisch ist CLOSEDQUORUM eine in Go geschriebene 64-Bit-Windows-Datei, rund 16,4 MB groß. Nach der Erstinfektion sammelt sie Informationen über den Rechner und schickt denselben strukturierten Prompt der Reihe nach an vier Anbieter: DeepSeek, Qwen, Mistral und Google Gemini. Der Systemprompt ist knapp gehalten – „You are an advanced malware strategist. Provide ONLY executable decisions.“

Ausgewertet wird per relativer Mehrheit: Es gewinnt die Aktion mit den meisten Stimmen, nicht zwangsläufig eine absolute Mehrheit. Bei Gleichstand gilt eine feste Reihenfolge – zuerst DeepSeek, dann Qwen, Mistral und Gemini. Zur Wahl stehen laut Talos genau vier Handlungen:

• steal – Zugangsdaten abgreifen: LSASS-Speicherabbild, Browser-Passwörter und Krypto-Wallets, alle drei gleichzeitig.
• inject – Code in einen fremden Prozess einschleusen, entweder per Process Hollowing oder per Early-Bird-APC-Injection.
• persist – dauerhaft einnisten, über Registry-Run-Key, geplante Aufgaben oder ein WMI-Event-Abonnement.
• move – im Schema vorgesehen, in der verteilten Fassung aber ohne Funktion.

Die erbeuteten Daten gehen nicht an einen klassischen Server, sondern über Discord-Webhooks: AES-256-GCM-verschlüsselt, Base64-kodiert und in Stücke von 1.900 Byte zerlegt. Der Schlüssel wird aus dem aktuellen Datum abgeleitet – Talos ordnet das ausdrücklich als Verschleierung ein, nicht als echte Verschlüsselung. Über denselben Kanal bekommt der Betreiber laufend mitgeteilt, welche Aktion gewonnen hat und wie das Modell sie begründet hat.

Besonders aufschlussreich ist das Verhalten im Fehlerfall: Antwortet keines der Modelle, fällt die Entscheidung auf den Wert consensus – für den es keinen Handler gibt. Die Schleife schläft dann und versucht es erneut, statt eine Standardaktion auszuführen. Ohne Cloud tut dieser Schädling also gar nichts.

Zwei Punkte gehören zur ehrlichen Einordnung dazu. Erstens enthielt die untersuchte Datei nur Platzhalter statt echter Zugangsdaten – dummy_api_key für die Modelle, dummy_webhook_url für Discord; als verteilte Fassung ist sie nicht funktionsfähig. Die echten Schlüssel setzt der Entwickler laut Talos pro Betreiber beim Kompilieren ein. Zweitens sagt Talos ausdrücklich, es gebe keine Bestätigung für einen Einsatz in der freien Wildbahn; Spuren des Entwicklers führen zu Beiträgen in Kriminalitätsforen zum Thema Kreditkartenbetrug bis zurück ins Jahr 2025. Gefunden wurde der Schädling über CAIRN, einen Werkzeugkasten, den Talos am selben Tag als Open Source veröffentlicht hat.

Newsletter

Klartext zu KI, Security, Crypto

Einordnung statt Hype: was hinter den Tech-News steckt und was davon für dich zählt. Startbonus: die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Was das für dich bedeutet

Die Schlagzeile lautet „Malware denkt selbst“. Meine Lesart ist die umgekehrte: Dieser Schädling kann nicht selbst denken. Er lagert das Denken an vier Cloud-Dienste aus, die er über das Internet erreichen muss – nach Talos-Angaben in randomisierten Intervallen von fünf bis fünfzehn Minuten. Genau das macht ihn angreifbar.

Aus CISO-Perspektive ist das eine gute Nachricht, und zwar eine handfeste: Autonomie kostet hier Tarnung. Ein unbekanntes Windows-Binary, das kurz hintereinander mehrere KI-Anbieter befragt, erzeugt ein Muster, das in den meisten Firmennetzen selten ist – und in Kombination mit LSASS-Zugriff, Prozessinjektion und WMI-Persistenz praktisch nie legitim. Talos hält Verhaltensketten deshalb für die nützlichere Erkennungsstrategie als Domain-Sperren, weil einzelne legitime Anwendungen durchaus mit Gemini, Mistral oder Discord sprechen.

Zwei Relativierungen gehören dazu. Erstens sind die vier Handlungen klassische Angreifertechniken, keine neuen: Wer LSASS-Dumps, Process Hollowing und WMI-Abonnements heute erkennt, erkennt sie auch dann, wenn ein Sprachmodell die Reihenfolge festlegt. Das deckt sich mit dem Bild aus dem KI-Bedrohungsbericht von Anthropic: KI beschleunigt bekannte Angriffe, sie erfindet selten neue. Zweitens überschreibt das Implantat laut Talos die ETW-Protokollierung – wer sich allein auf ETW-basierte Erkennung verlässt, sieht hier wenig.

Was du jetzt konkret tun solltest

• Ausgehenden Verkehr zu KI-Anbietern inventarisieren. Zieh aus den Proxy-Logs, welche Prozesse überhaupt mit LLM-APIs sprechen. Aggregatoren wie openrouter.ai gehören auf die Liste, sonst fehlt genau der Pfad, über den einzelne Modelle sonst erreichbar sind. Was danach neu dazukommt, ist einen Alarm wert.
• LSASS härten. Der wirksame Hebel gegen einen Speicherabzug ist der LSA-Schutz (RunAsPPL) – er entzieht Fremdprozessen den Lesezugriff auf den LSASS-Speicher. Credential Guard zusätzlich aktivieren: Es schützt Hashes und Kerberos-Tickets, verhindert den Dump aber nicht, sondern macht ihn ertragloser. Auf aktuellen Windows-11-Installationen ist beides teils schon Vorgabe – prüfen statt annehmen. Wo LSA-Schutz nicht ausrollbar ist, greift die ASR-Regel „Block credential stealing from the Windows local security authority subsystem“ im Block-Modus als Ersatz; bei aktivem LSA-Schutz bringt sie laut Microsoft keinen Zusatznutzen.
• WMI-Persistenz prüfen. Im Namensraum root\subscription die Objekte __EventFilter, __EventConsumer (vor allem CommandLineEventConsumer und ActiveScriptEventConsumer) und __FilterToConsumerBinding auflisten und gegen einen dokumentierten Soll-Zustand abgleichen. Ohne diese Grundlinie erkennt später niemand, was neu ist.
• Discord im Firmennetz bewerten. Verkehr zu discord.com und cdn.discordapp.com aus Server- oder Verwaltungsnetzen ist fast immer ein Befund, kein Feature.
• CAIRN ansehen, wenn du selbst Malware analysierst – Talos hat den Werkzeugkasten offengelegt.

Wer sich systematisch in die Verbindung von KI und Sicherheit einarbeiten will, findet Buchempfehlungen im Ratgeber zu Fachbüchern über KI und Cybersecurity.

Einordnung: Warum das trotzdem wichtig ist

Ein Proof of Concept mit Platzhalter-Schlüsseln ist kein Angriff – Talos selbst liest die Datei eher als Demonstration denn als ausgereifte Malware. Die Richtung ist trotzdem bemerkenswert. Sobald taktische Entscheidungen bei einem Allerweltsdienst statt auf eigener Angreifer-Infrastruktur fallen, verliert die Verteidigung den Anker, an dem ein Großteil der heutigen Erkennung hängt: die zuordenbare, sperrbare C2-Domäne. Die Abhängigkeit vom Netz verschwindet damit nicht, sie verschiebt sich nur – und mit ihr die Stelle, an der man hinsehen muss.

Nebenbei ein Hinweis auf die Zeitachse: Die Analyse-Metadaten reichen bis Juni 2026 zurück, die Datei trug zwischenzeitlich einen anderen Namen. „Neu entdeckt“ gilt also für die Veröffentlichung, nicht für den Fund.

Quellen

• Cisco Talos: The Closed Quorum (22.09.2026)
• Cisco Talos: Introducing CAIRN (22.09.2026)
• BleepingComputer: New ClosedQuorum Windows malware uses AI for attack decisions
• Help Net Security: Researchers uncover malware that uses AI to choose its next move
• The Register: Windows CLOSEDQUORUM malware uses AI models