So entfernen Sie den ClosedQuorum RAT aus dem Betriebssystem

Was für eine Malware ist ClosedQuorum?

ClosedQuorum ist ein Windows-Implantat, das als Trojaner eingestuft wird und die Funktionalität eines Remote Access Trojan (RAT) mit dem Diebstahl von Anmeldedaten und Kryptowährungen kombiniert. Was es auszeichnet, ist die Nutzung kommerzieller KI-Sprachmodelle, um autonom zu entscheiden, welche Angriffsaktion als Nächstes durchgeführt wird, ohne dass ein menschlicher Operator Befehle senden muss.

Sobald sie aktiv ist, fragt die Malware bis zu vier KI-Dienste ab, wertet deren Antworten aus und führt eine von vier vordefinierten Aktionen aus: Anmeldedaten stehlen, Schadcode injizieren, Persistenz herstellen oder eine laterale Bewegung versuchen. Gestohlene Daten werden über einen Discord-Webhook an den Angreifer gesendet, anstatt über einen herkömmlichen Command-and-Control-Server.

Laut einer von Cisco Talos veröffentlichten Untersuchung ist ClosedQuorum das erste dokumentierte Implantat, das taktische Entscheidungen vollständig an KI-Modelle delegiert. Die analysierten Samples enthalten Platzhalter-Anmeldedaten, und zum Zeitpunkt der Erstellung dieses Berichts wurden keine bestätigten Einsätze in freier Wildbahn gemeldet.

ClosedQuorum Übersicht

ClosedQuorum ist in Go kompiliert und läuft auf 64-Bit-Windows-Systemen. Anstatt einen dedizierten Command-and-Control-Server zu kontaktieren, sendet es Anfragen an bis zu vier kommerzielle KI-Anbieter: DeepSeek, Qwen, Mistral und Google Gemini.

Jedes Modell erhält einen System-Prompt, der es anweist, als Malware-Stratege zu agieren und eine von vier vordefinierten Entscheidungen zurückzugeben: stehlen, injizieren, persistieren oder bewegen. Die Antworten werden per Mehrheitsentscheid verglichen. Bei Gleichstand hat DeepSeek Vorrang als Stichentscheider.

Diese Architektur verlagert die Entscheidungsfindung bei Angriffen vom Betreiber auf die kommerzielle KI-Infrastruktur. Die Malware kann Angriffsphasen weiterhin autonom ausführen, selbst wenn kein Betreiber aktiv zusieht, was Cisco Talos als eine Form der „Aufwandsverlagerung" beschreibt.

Fähigkeiten von ClosedQuorum

Die Aktion stehlen weist ClosedQuorum an, Anmeldedaten aus dem LSASS-Speicher mithilfe der Funktion MiniDumpWriteDump zu extrahieren, gespeicherte Passwörter und Sitzungsdaten aus Chrome, Edge und Firefox zu entnehmen sowie Dateien von Kryptowährungs-Wallet-Software und Browsererweiterungen wie MetaMask, Exodus und Ethereum zu sammeln.

Die Aktion injizieren führt Shellcode innerhalb eines anderen laufenden Prozesses aus, entweder mittels Early-Bird-APC-Injektion oder Process Hollowing mit einer PEB-Walk-Technik. Beide Methoden ermöglichen es der Malware, Code unter dem Deckmantel eines legitimen Prozesses auszuführen.

Die Aktion persistieren erstellt einen Windows-Registry-Run-Schlüssel, registriert eine geplante Aufgabe und richtet ein WMI-Ereignisabonnement ein, das alle 60 Sekunden ausgelöst wird. Diese drei Mechanismen arbeiten unabhängig voneinander, was die Infektion schwerer vollständig entfernbar macht.

Die Aktion bewegen ist für laterale Bewegung durch das lokale Netzwerk konzipiert. In den von Cisco Talos analysierten Proben ist diese Option im Code vorhanden, jedoch nicht funktionsfähig, was darauf hindeutet, dass sie für zukünftige Builds reserviert ist.

Tarnung und Datenexfiltration

Um die verhaltensbasierte Überwachung zu behindern, überschreibt ClosedQuorum die Funktion EtwEventWrite und unterdrückt so Event Tracing for Windows (ETW) - einen Protokollierungsmechanismus, auf den sich viele Sicherheitstools verlassen, um verdächtige Aktivitäten zu erkennen.

Die Malware verzögert ihre erste Aktion um fünf Minuten nach dem Start und fragt anschließend die KI-Anbieter in zufälligen Intervallen von fünf bis fünfzehn Minuten ab. Dieses Timing hilft dabei, Sandbox-Analyseumgebungen zu umgehen, die Proben in der Regel nur für ein festes, kurzes Zeitfenster ausführen.

ClosedQuorum tarnt sich mit Dateinamen, die auf Windows Update anspielen. Vor der Exfiltration werden die gestohlenen Daten mit AES-256-GCM unter Verwendung eines datumsbasierten Schlüssels verschlüsselt, Base64-kodiert und in 1.900-Byte-Blöcke aufgeteilt, die über einen Discord-Webhook an den Betreiber übertragen werden.

Fazit

ClosedQuorum ist eine heimliche, selbststeuernde Bedrohung, die in der Lage ist, Browser-Anmeldedaten, Systempasswörter und Kryptowährungs-Wallet-Daten zu stehlen, Code in andere Prozesse zu injizieren und über mehrere unabhängige Mechanismen dauerhaften Zugriff aufrechtzuerhalten.

Ihre KI-gesteuerte Entscheidungsschleife macht sie unberechenbarer als herkömmliche Malware: Sie wartet nicht auf Eingaben des Betreibers und kann Angriffsphasen eigenständig weiter ausführen. Jeder Rechner, der als mit ClosedQuorum infiziert festgestellt wird, sollte sofort bereinigt werden.

Weitere Beispiele für RATs sind DarkTortilla, PEEP und PollCat.

Wie ist ClosedQuorum in meinen Computer eingedrungen?

Wie von Cisco Talos dokumentiert, folgt ClosedQuorum einem Credentials-as-a-Service-Vertriebsmodell, das sich an kriminelle Betreiber richtet. Die Entwickler erstellen für jeden Käufer eine angepasste Binärdatei und betten die LLM-API-Schlüssel und Discord-Webhook-URL dieses Betreibers zur Kompilierzeit ein. Jeder daraus resultierende Build ist einzigartig und verfügt über einen eigenen Exfiltrationskanal.

Die spezifischen Methoden, die zur Auslieferung von ClosedQuorum an die Endopfer verwendet werden, wurden in den analysierten Proben nicht bestätigt. Dennoch wird Malware dieser Kategorie üblicherweise über Phishing-E-Mails mit bösartigen Anhängen, gefälschte Download-Seiten, die legitime Software imitieren, sowie über irreführende Werbeanzeigen verbreitet.

Andere typische Verbreitungswege umfassen Raubkopien und Aktivierungs-Cracks, Drittanbieter-Download-Plattformen, Malvertising und gefälschte Software-Update-Aufforderungen. Zu den häufig zum Verpacken solcher Payloads verwendeten Dateiformaten gehören ZIP-, RAR-, EXE- und MSI-Archive.

Wie kann man die Installation von Malware vermeiden?

Seien Sie vorsichtig bei unerwarteten E-Mails, insbesondere bei solchen, die Anhänge oder Links von unbekannten Absendern enthalten. Laden Sie Software nur von offiziellen Entwicklerwebsites und verifizierten App-Stores herunter. Vermeiden Sie Raubkopien, Schlüsselgeneratoren und Aktivierungstools aus inoffiziellen Quellen, da diese zu den häufigsten Verbreitungswegen für Malware gehören.

Halten Sie Ihr Betriebssystem und alle installierte Software auf dem neuesten Stand, da veraltete Anwendungen ein häufiges Ziel für Ausnutzung sind. Verwenden Sie renommierte Sicherheitssoftware und führen Sie regelmäßige Systemscans durch, um Bedrohungen frühzeitig zu erkennen. Wenn Sie glauben, dass Ihr Computer bereits infiziert ist, empfehlen wir, einen Scan mit Combo Cleaner Antivirus für Windows durchzuführen, um eingedrungene Malware automatisch zu beseitigen.

Umgehende automatische Entfernung von Malware:

Die manuelle Entfernung einer Bedrohung kann ein langer und komplizierter Prozess sein, der fortgeschrittene Computerkenntnisse voraussetzt. Combo Cleaner ist ein professionelles, automatisches Malware-Entfernungstool, das zur Entfernung von Malware empfohlen wird. Laden Sie es durch Anklicken der untenstehenden Schaltfläche herunter:

Indem Sie Software, die auf dieser Internetseite aufgeführt ist, herunterladen, stimmen Sie unseren Datenschutzbestimmungen und Nutzungsbedingungen zu. Der kostenlose Scanner überprüft, ob Ihr Computer infiziert ist. Um das Produkt mit vollem Funktionsumfang nutzen zu können, müssen Sie eine Lizenz für Combo Cleaner erwerben. Auf 7 Tage beschränkte kostenlose Testversion verfügbar. Eigentümer und Betreiber von Combo Cleaner ist RCS LT, die Muttergesellschaft von PCRisk.

Schnellmenü:

• Was ist ClosedQuorum?
• SCHRITT 1. Manuelle Entfernung der ClosedQuorum-Malware.
• SCHRITT 2. Überprüfen Sie, ob Ihr Computer sauber ist.

Wie entfernt man Malware manuell?

Die manuelle Entfernung von Malware ist eine komplizierte Aufgabe - in der Regel ist es am besten, Antiviren- oder Anti-Malware-Programme dies automatisch erledigen zu lassen. Zum Entfernen dieser Malware empfehlen wir die Verwendung von Combo Cleaner Antivirus für Windows.

Wenn Sie Malware manuell entfernen möchten, besteht der erste Schritt darin, den Namen der Malware zu identifizieren, die Sie zu entfernen versuchen. Hier ist ein Beispiel für ein verdächtiges Programm, das auf dem Computer eines Benutzers läuft:

Wenn Sie die Liste der auf Ihrem Computer laufenden Programme überprüft haben, zum Beispiel mithilfe des Task-Managers, und ein Programm identifiziert haben, das verdächtig aussieht, sollten Sie mit diesen Schritten fortfahren:

Laden Sie ein Programm namens Autoruns herunter. Dieses Programm zeigt Autostart-Anwendungen, Registry- und Dateisystem-Speicherorte an:

Starten Sie Ihren Computer im abgesicherten Modus neu:

Benutzer von Windows XP und Windows 7: Starten Sie Ihren Computer im abgesicherten Modus. Klicken Sie auf Start, klicken Sie auf Herunterfahren, klicken Sie auf Neu starten, klicken Sie auf OK. Drücken Sie während des Startvorgangs Ihres Computers mehrmals die Taste F8 auf Ihrer Tastatur, bis das Menü „Erweiterte Windows-Optionen" erscheint, und wählen Sie dann „Abgesicherter Modus mit Netzwerktreibern" aus der Liste.

Video, das zeigt, wie man Windows 7 im „abgesicherten Modus mit Netzwerktreibern" startet:

Windows 8-Benutzer: Starten Sie Windows 8 im abgesicherten Modus mit Netzwerktreibern - Gehen Sie zum Windows 8-Startbildschirm, geben Sie Erweitert ein, wählen Sie in den Suchergebnissen Einstellungen. Klicken Sie auf Erweiterte Startoptionen, wählen Sie im geöffneten Fenster „Allgemeine PC-Einstellungen" die Option Erweiterter Start.

Klicken Sie auf die Schaltfläche „Jetzt neu starten". Ihr Computer wird nun in das Menü „Erweiterte Startoptionen" neu gestartet. Klicken Sie auf die Schaltfläche „Problembehandlung" und dann auf die Schaltfläche „Erweiterte Optionen". Klicken Sie im Bildschirm für die erweiterten Optionen auf „Starteinstellungen".

Klicken Sie auf die Schaltfläche „Neu starten". Ihr PC wird in den Bildschirm „Starteinstellungen" neu gestartet. Drücken Sie F5, um im abgesicherten Modus mit Netzwerktreibern zu starten.

Video, das zeigt, wie man Windows 8 im „abgesicherten Modus mit Netzwerktreibern" startet:

Windows 10-Benutzer: Klicken Sie auf das Windows-Logo und wählen Sie das Ein/Aus-Symbol. Klicken Sie im geöffneten Menü auf „Neu starten", während Sie die „Umschalttaste" auf Ihrer Tastatur gedrückt halten. Klicken Sie im Fenster „Option auswählen" auf „Problembehandlung" und wählen Sie dann „Erweiterte Optionen".

Wählen Sie im Menü der erweiterten Optionen „Starteinstellungen" und klicken Sie auf die Schaltfläche „Neu starten". Im folgenden Fenster sollten Sie die Taste „F5" auf Ihrer Tastatur drücken. Dadurch wird Ihr Betriebssystem im abgesicherten Modus mit Netzwerktreibern neu gestartet.

Video, das zeigt, wie man Windows 10 im „abgesicherten Modus mit Netzwerktreibern" startet:

Extrahieren Sie das heruntergeladene Archiv und führen Sie die Datei Autoruns.exe aus.

Klicken Sie in der Autoruns-Anwendung oben auf „Options" (Optionen) und deaktivieren Sie die Optionen „Hide Empty Locations" (Leere Speicherorte ausblenden) und „Hide Windows Entries" (Windows-Einträge ausblenden). Klicken Sie nach diesem Vorgang auf das Symbol „Refresh" (Aktualisieren).

Überprüfen Sie die von der Autoruns-Anwendung bereitgestellte Liste und lokalisieren Sie die Malware-Datei, die Sie beseitigen möchten.

Sie sollten deren vollständigen Pfad und Namen notieren. Beachten Sie, dass einige Malware Prozessnamen unter legitimen Windows-Prozessnamen versteckt. In diesem Stadium ist es sehr wichtig, das Entfernen von Systemdateien zu vermeiden. Nachdem Sie das verdächtige Programm lokalisiert haben, das Sie entfernen möchten, klicken Sie mit der rechten Maustaste auf dessen Namen und wählen Sie „Delete" (Löschen).

Nach dem Entfernen der Malware über die Autoruns-Anwendung (dies stellt sicher, dass die Malware beim nächsten Systemstart nicht automatisch ausgeführt wird) sollten Sie auf Ihrem Computer nach dem Namen der Malware suchen. Stellen Sie sicher, dass Sie versteckte Dateien und Ordner aktivieren, bevor Sie fortfahren. Wenn Sie den Dateinamen der Malware finden, entfernen Sie ihn unbedingt.

Starten Sie Ihren Computer im normalen Modus neu. Das Befolgen dieser Schritte sollte jegliche Malware von Ihrem Computer entfernen. Beachten Sie, dass die manuelle Bedrohungsentfernung fortgeschrittene Computerkenntnisse erfordert. Wenn Sie diese Kenntnisse nicht besitzen, überlassen Sie die Malware-Entfernung Antiviren- und Anti-Malware-Programmen.

Diese Schritte funktionieren möglicherweise nicht bei fortgeschrittenen Malware-Infektionen. Wie immer ist es am besten, eine Infektion zu verhindern, anstatt zu versuchen, Malware später zu entfernen. Um Ihren Computer sicher zu halten, installieren Sie die neuesten Betriebssystem-Updates und verwenden Sie Antivirensoftware. Um sicherzugehen, dass Ihr Computer frei von Malware-Infektionen ist, empfehlen wir, ihn mit Combo Cleaner Antivirus für Windows zu scannen.

Häufig gestellte Fragen (FAQ)

Mein Computer ist mit der ClosedQuorum-Malware infiziert, sollte ich mein Speichergerät formatieren, um sie loszuwerden?

Das Formatieren entfernt ClosedQuorum, löscht aber auch jede Datei auf dem Laufwerk. Das Ausführen eines renommierten Sicherheitstools wie Combo Cleaner ist in den meisten Fällen der sicherere erste Schritt, da es die Infektion beseitigen kann, ohne Ihre Daten zu zerstören.

Was sind die größten Probleme, die die ClosedQuorum-Malware verursachen kann?

ClosedQuorum kann Browser-Passwörter, Systemanmeldedaten und Inhalte von Kryptowährungs-Wallets stehlen. Es kann außerdem bösartigen Code in laufende Prozesse injizieren und sich über mehrere Persistenzmechanismen verankern.

Diese Fähigkeiten können zu Konto-Hijacking, finanziellen Verlusten durch gestohlene Kryptowährung, Identitätsdiebstahl und der Auslieferung zusätzlicher Malware auf den kompromittierten Rechner führen.

Was ist der Zweck der ClosedQuorum-Malware?

ClosedQuorum ist darauf ausgelegt, Angriffsphasen nach der Kompromittierung mithilfe von KI-Entscheidungsfindung zu automatisieren. Seine Hauptziele sind der Diebstahl von Anmeldedaten und Kryptowährungs-Wallet-Daten, mit zusätzlichen Fähigkeiten für Code-Injektion, Persistenz und laterale Bewegung.

Wie ist die ClosedQuorum-Malware in meinen Computer eingedrungen?

ClosedQuorum wird als angepasster Build an kriminelle Betreiber verkauft, wobei jede Binärdatei einzigartige API-Schlüssel und einen Exfiltrationskanal trägt. Die tatsächliche Auslieferung an die Opfer folgt wahrscheinlich gängigen Methoden wie Phishing-E-Mails, gefälschten Software-Downloads, Raubkopien oder bösartigen Werbeanzeigen.

Wird Combo Cleaner mich vor Malware schützen?

Ja. Combo Cleaner kann die meisten bekannten Malware erkennen und entfernen. Da Bedrohungen wie ClosedQuorum mehrere unabhängige Persistenzmechanismen verwenden, wird empfohlen, einen vollständigen Systemscan durchzuführen, um sicherzustellen, dass die Infektion vollständig beseitigt ist.