이 Windows 악성코드는 최대 4개의 AI 모델이 다음 행동을 투표로 결정하도록 설계됐다

한 줄 요약

Cisco Talos가 2026년 9월 22일, AI 모델 최대 4개의 '다수결 투표'로 다음 공격 행동을 결정하는 Windows 악성코드 **CLOSEDQUORUM**을 공개했습니다. 이 악성코드는 기존처럼 공격자 서버에서 명령을 받는 대신, DeepSeek·Qwen·Mistral·Google Gemini에 질의하고 가장 많은 표를 얻은 행동(자격증명 탈취·코드 인젝션·지속성 설치·이동)을 실행합니다. 실제로 실행되면 Windows 로그인 정보(LSASS 메모리 덤프), 크롬·엣지·파이어폭스 저장 비밀번호, MetaMask·Exodus 등 암호화폐 지갑 데이터를 훔쳐 Discord 채널로 전송합니다. 현재 공개된 버전은 API 키와 Discord 웹훅이 더미 값이라 실제로 동작하지 않지만, Talos는 이를 "AI가 공격 의사결정을 대신하는 첫 번째 공개 사례"로 평가합니다. 보안 담당자는 AI 서비스 트래픽과 LSASS 접근·인젝션·WMI 지속성 등이 동시에 나타나는 조합에 주목해야 합니다.

사건

Cisco Talos가 AI 모델 4개의 다수결로 공격 행동을 결정하는 신종 Windows 악성코드 CLOSEDQUORUM을 발견했다. 최소 3개월 전(2026년 6월)부터 개발된 것으로 추정되며, 개발자는 카딩(신용카드 정보 거래) 포럼과 연결된다.

영향

Windows 자격증명(LSASS), 주요 브라우저 저장 비밀번호, MetaMask·Exodus·Ethereum 암호화폐 지갑 데이터를 탈취한다. 코드 인젝션과 레지스트리·스케줄 작업·WMI 이벤트 3중 지속성을 설치한다. 현재 공개 버전은 미완성이지만 기법 자체가 탐지 회피에 유리하다.

원인

기존 C2 서버 대신 상용 AI API를 지휘 채널로 활용해, 공격자 인프라 없이도 악성코드가 스스로 다음 행동을 결정할 수 있게 설계됐다. API 키와 Discord 웹훅만 삽입하면 작동한다.

대응

Cisco Talos가 Snort 룰(1:66984)과 YARA 룰, SHA-256 해시 6개를 공개했다. AI 탐지 전용 오픈소스 도구 CAIRN도 함께 배포했으나, CLOSEDQUORUM 룰은 별도로 추가해야 한다. TLS 복호화(인터셉션) 환경에서 Snort 룰의 효과가 높다.

실무 포인트

AI 서비스(DeepSeek·Mistral·Gemini·OpenRouter) 트래픽 단독 차단보다, '예상치 못한 프로세스가 여러 AI API를 동시 호출하면서 LSASS 접근·인젝션·WMI 지속성 설치·Discord 웹훅 트래픽을 함께 일으키는 조합'을 행위 기반으로 탐지하는 것이 핵심이다. WindowsUpdate 레지스트리 값, C:\Windows\Temp\wmi.ps1, WMI 이벤트 구독 생성을 IOC로 등록할 것.

본문

Cisco Talos가 9월 22일 밝힌 바에 따르면, CLOSEDQUORUM이라는 Windows 악성코드는 공격자 서버 대신 최대 4개의 AI 모델이 투표로 결정한 명령을 수행하도록 설계됐다.

모델들은 Windows 자격증명, 브라우저 저장 비밀번호, 암호화폐 지갑 데이터를 훔치는 행동 등을 선택할 수 있다. Talos는 이 구조가 처음부터 끝까지 실제로 작동하는 것을 목격하지 못했으며, 현재 공개된 버전은 그 자체로 동작하지 않는다.

Talos는 같은 날 공개한 오픈소스 도구 CAIRN으로 이 악성코드를 발견했다. CAIRN은 AI 서비스를 이용하는 악성코드를 추적하기 위한 도구다. 코드 분석 날짜가 2026년 6월 17일로 되어 있어, 이 악성코드는 최소 3개월 전부터 존재했다.

연구진은 피해자의 컴퓨터에 악성코드가 어떻게 설치되는지는 설명하지 않았다. 코드 내 단서가 개발자를 2025년에 올라온 카딩(신용카드 정보 거래) 관련 범죄 포럼 게시물과 연결한다고 밝혔다.

AI 투표 방식

악성코드는 보통 공격자가 운영하는 C2(명령 및 제어) 서버에서 지시를 받는다. 그러나 CLOSEDQUORUM은 Talos에 따르면 DeepSeek, Qwen, Mistral, Google Gemini 등 최대 4개의 상용 AI 서비스에 무엇을 할지 묻는 방식을 취한다.

각 요청마다 악성코드는 컴퓨터 이름, Windows 버전, 관리자 권한 여부 등 기본 정보를 전송한다. 또한 모델이 선택할 수 있는 고정된 행동 목록도 함께 보낸다.

행동은 네 가지다: steal(탈취), inject(인젝션), persist(지속성 설치), move(이동). 공개 버전에서 move는 실행 코드가 없어 선택해도 아무 일도 일어나지 않는다.

각 모델은 정해진 형식으로 답변해야 하며, 형식이 맞지 않으면 해당 답변은 무효 처리된다. 악성코드는 유효한 답변을 집계해 가장 많은 표를 받은 행동을 실행한다. 유효한 답변이 하나도 없으면 기본 행동을 선택하는 대신 대기했다가 다시 시도한다.

Talos는 모델들이 각 결정을 내리기 때문에, 악성코드가 실행된 이후 공격자가 별도로 명령을 보낼 필요가 없다고 설명했다.

공격자는 Discord 채널에서 각 결정과 모델이 제시한 이유를 확인할 수 있다. 악성코드는 행동을 실행하기 전, Discord 웹훅(채널에 메시지를 보내는 URL)을 통해 해당 내용을 게시한다. 탈취한 데이터도 같은 채널로 전송된다.

작동하려면 각 사본에 API 키(프로그램이 AI 서비스를 이용하는 데 필요한 코드)와 실제 Discord 웹훅이 필요하다. 테스트 버전을 보면 키는 프로그램을 빌드할 때 삽입된다. 공개 버전은 두 항목 모두 더미 값이라 모델에 접근하거나 데이터를 전송할 수 없다.

Talos는 CLOSEDQUORUM이 자신들이 알기로 C2 결정을 AI 모델에 위임한 최초의 공개 문서화된 Windows 임플란트라고 밝혔다.

AI는 이전에도 악성코드에 활용된 바 있다. 우크라이나 CERT-UA가 2025년 7월에 보고한 LAMEHUG는 코드에 설정된 작업을 위해 AI 모델에 명령어 작성을 요청했다. CLOSEDQUORUM은 모델들에게 작업 자체를 선택하게 한다는 점에서 다르다.

Talos는 CLOSEDQUORUM을 공격의 일부를 AI 모델에 맡기는 초기적이고 제한적인 사례로 평가했다.

AI 서비스에 의존하는 방식은 취약점을 만들어낸다. 서비스가 요청을 거부하거나, 처리 횟수를 제한하거나, 잘못된 출력을 반환할 수 있기 때문이다. 또한 악성코드는 자신이 통제할 수 없는 외부 기업에 의존하게 된다.

각 행동의 상세 내용

Talos에 따르면 steal이 선택되면 악성코드는 세 가지 작업을 동시에 수행한다. 로그인 자격증명을 보관하는 Windows 프로세스인 LSASS의 메모리를 덤프하고, Chrome·Edge·Firefox의 저장 비밀번호를 복사하며, MetaMask·Exodus·Ethereum 암호화폐 지갑 데이터를 수집한다.

inject는 다른 프로그램 내부에서 코드를 실행한다. Early Bird APC 인젝션 기법을 사용하며, 모델이 요청할 경우 프로세스 할로잉(process hollowing)을 사용한다.

persist는 악성코드가 자동으로 재시작되도록 세 가지 방법을 설정한다: 현재 사용자의 레지스트리 Run 키에 값 추가, 스케줄 작업 생성, 그리고 60초마다 실행되는 WMI 이벤트 구독. 레지스트리 값과 WMI 이름은 Windows Update 테마로 꾸며져 정상적인 시스템 활동처럼 보이게 한다.

탈취한 파일은 전송 전에 C:\Windows\Temp\에 복사된 후 암호화되어 1,900바이트 단위로 분할된다. 초당 하나씩 공격자의 Discord 채널로 전송된다.

방어자가 주목해야 할 지표

Talos는 AI 서비스 도메인을 차단하기보다 행위 기반으로 탐지해야 한다고 밝혔다. 정상적인 프로그램도 DeepSeek, Mistral, Gemini, Discord, 또는 AI 서비스 중계 플랫폼인 OpenRouter에 접속할 수 있다. 그러나 이러한 서비스 여러 곳에 동시에 접속하면서 LSASS에 접근하고, 일시 중단된 프로세스에 코드를 인젝션하거나, WMI 지속성을 생성하는 경우는 매우 드물다.

단일 지표로는 악성코드를 특정할 수 없지만, 지표의 조합이 두드러진다. 주요 지표는 다음과 같다: