Cisco Talos'un incelediği CLOSEDQUORUM implantı, sonraki adımını dört yapay zeka sağlayıcısı arasında en çok oyu alan kararla seçiyor

Go ile yazılmış 16,4 MB'lık bir örnek, kararını dışarıdaki modellere bırakıyor

Cisco Talos Intelligence Blog, 22 Eylül 2026'da Ryan Fetterman imzasıyla "The Closed Quorum: Inside the first reported autonomous AI C2 implant" başlıklı analizi yayımladı. Yazıya göre CLOSEDQUORUM, 16,4 MB boyutunda 64 bit bir Windows çalıştırılabilir dosyası; Go dilinde yazılmış ve CGO_ENABLED=1 ile C kodu da derlenerek üretilmiş. Talos, implantı bildikleri kadarıyla bu modeli taktik komuta kontrole uygulayan kamuya belgelenmiş ilk Windows implantı olarak tanımlıyor; aynı gün yayımlanan Help Net Security haberi de bu nitelemeyi Talos'tan aktarıyor.

Talos'un kendi uyarısı da metnin içinde: vahşi doğada konuşlandırıldığına dair bir doğrulamaları olmadığını yazıyor. İncelenen ikili dosyada tüm LLM API anahtarları dummy_api_key, Discord webhook adresi dummy_webhook_url; yani örnek dağıtıldığı haliyle işlevsiz. Talos'un çıkarımına göre geliştirici her operatör için, derleme anında o operatörün webhook'u ve anahtarları enjekte edilmiş ayrı bir dosya üretiyor; Talos bunu kesin bir bulgu olarak değil, geliştirme derlemelerinden çıkarılan bir değerlendirme olarak sunuyor. Artefaktlar geliştiriciyi 2025'e uzanan carding paylaşımlarına bağlıyor; kimliği, uyruğu ve hangi forumda faaliyet gösterdiği açıklanmıyor. İlk bulaşma vektörü de kaynaklarda yazmıyor.

Nisap, oy sayacı ve eşitlik halinde işleyen öncelik sırası

Talos'a göre implant en fazla dört LLM sağlayıcı entegrasyonunu sırayla sorguluyor ve yanıtları en çok oyu alanın kazandığı oylamayla (plurality) topluyor: her sağlayıcının Decision alanı bir map[string]int sayacını artırıyor, en yüksek sayıyı alan karar uygulanıyor. Sağlayıcılar DeepSeek, Qwen, Mistral ve Google Gemini; eşitlikte öncelik sırası da bu. Talos'un ifadesine göre DeepSeek başarısız olur ve nisapta yer almazsa belirleyici oy Qwen'e geçiyor, sıra listede aşağı doğru devam ediyor; Help Net Security aynı sırayı aktarıyor. Sistem istemi 'You are an advanced malware strategist. Provide ONLY executable decisions.' şeklinde; TARGET alanına makine adı, mimari, CPU sayısı, Windows sürümü ve yönetici yetkisi yazılıyor. Help Net Security modellere üç seçenek sunulduğunu yazıyor: veri çalma, kod enjeksiyonu veya kalıcılık. Talos'un belgelediği karar şeması ise dört değerli: steal, inject, persist ve dağıtım derlemesinde bir işleyicisi bulunmayan move. Tüm modeller başarısız olursa karar "consensus" oluyor; karşılığı olan bir yetenek işleyicisi bulunmadığı için döngü uyuyup yeniden deniyor.

Hedef listesi klasik hırsız yazılımlarına benziyor: LSASS bellek dökümüyle Windows etki alanı ve yerel kimlik bilgileri (lsassDump() fonksiyonu), Chrome, Edge ve Firefox'ta kayıtlı parolalar, MetaMask Chrome eklentisi, Exodus (exodus.wallet) ve Ethereum cüzdanları. Çalınan veri AES-256-GCM ile günlük dönen bir anahtarla şifrelenip Base64 ile kodlanıyor, 1.900 baytlık parçalara bölünüp birer saniye arayla Discord'a gönderiliyor. Kalıcılık için kullanıcının Registry Run anahtarına yazılan WindowsUpdate değeri, schtasks.exe zamanlanmış görevleri ve 60 saniyede bir PowerShell tetikleyen WMI olay abonelikleri kullanılıyor. Beş dakikalık başlangıç gecikmesi ve 5 ile 15 dakika arası rastgele yoklama, kısa ömürlü sanal alan analizine yakalanma riskini azaltıyor. Talos derleme zincirinden alınan altı SHA256 özetini IOC olarak yayımlıyor.

Karar mantığı dosyanın içinde değilse, imza aramak yetmiyor

Savunma tarafındaki anlamı şu: bir sonraki adımı belirleyen mantık ikili dosyaya gömülü değil, her turda dışarıdaki modellerden geliyor. Talos'un önerisi bu yüzden davranışsal imzaya odaklanıyor: birden fazla yapay zeka sağlayıcısına yapılan API çağrılarının LSASS erişimi, askıya alınmış süreçlere enjeksiyon veya WMI kalıcılığı oluşturmayla aynı anda görülmesi. Sızma kanalı olarak Discord kullanımı da analizde ayrıca belgeleniyor. Talos ayrıca bu tür zararlı yazılımları izlemek için açık kaynak araç setini CAIRN adıyla github.com/Cisco-Talos/Cognitive-Artifact-Intelligence-Research-Network adresinde yayımladı. Help Net Security'ye göre CAIRN örnekleri çalıştırmadan, dosya meta verisi üzerinden analiz ediyor ve bulguları üç kademeye ayırıyor: yapay zeka ile ilgili dizgiler, operasyonel entegrasyona işaret eden davranışsal kombinasyonlar ve doğrulanmış zararlı yazılım aileleri. Fetterman'ın sözü: 'CAIRN dört farklı analiz stratejisi kullanıyor.'

Bu, tek başına duran bir örnek de değil. Help Net Security, yapay zeka entegre zararlı yazılımın bilinen en erken örneği olarak CERT-UA'nın Temmuz 2025'te raporladığı LAMEHUG'i gösteriyor. Yazılım tedarik zincirindeki benzer yönelimi 13 Eylül 2026 tarihli RubyGems ajan sürüsü yazımızda ele almıştık. Bilinmeyenler de aynı netlikte sıralanmalı: satış fiyatı, kiralama modeli ve kaç operatöre özel derleme yapıldığı yazmıyor; konuşlandırma doğrulanmadığı için kurban sayısı, sektörler ve coğrafyalar bilinmiyor; sağlayıcıların açıklama yapıp yapmadığı ya da hesap kapatıp API kısıtladığı yer almıyor; CAIRN'in kaç örnek taradığı belirtilmiyor; Windows dışında bir sürüm olup olmadığı yazmıyor. Snort veya ClamAV imzalarıyla koruma sağlandığına dair açık ifade de bu kaynaklarda doğrulanamadı.

Kaynaklarda Türkiye'ye dair hiçbir bulgu yok

Bunu baştan açık yazalım: ne Cisco Talos analizi ne de Help Net Security haberi Türkiye'yi, Türkçe konuşan bir hedef kitleyi ya da bölgesel bir hedefleme bulgusunu anıyor. Talos analizinde coğrafi hedeflemeye dair herhangi bir ifade yer almıyor. Kaynaklarda geçen tek ülke bağlantısı, LAMEHUG'i Temmuz 2025'te raporlayan CERT-UA'ya yapılan atıf. Dolayısıyla bu yazıda Türkiye ile kurulmuş bir etkilenme iddiası ya da yerel vaka bağı yok.

Genel risk yorumu olarak söylenebilecek şu: hedef listesinde Chrome, Edge ve Firefox'ta kayıtlı parolalar var ve Türkiye'deki KOBİ çalışanlarının tarayıcılarında çoğu zaman site yönetim paneli parolaları ile oturum bilgileri duruyor. Böyle bir örnek bulaştığında ilk kaybedilen e-posta kutusu değil, kurumsal sitenin yönetim erişimi olabilir. Bu bir çıkarım ve Talos'un hedef listesine dayanıyor; kaynaklarda Türkiye'ye özgü bir ölçüm ya da vaka yok. Panel parolalarını tarayıcıya kaydetmemek, erişimi ikinci bir doğrulama adımıyla korumak ve yönetici oturumlarını kısa tutmak zararın önemli kısmını baştan keser.

Kaynaklar

Cisco Talos Intelligence Blog, CLOSEDQUORUM analizi · Help Net Security, CAIRN ve CLOSEDQUORUM haberi