x47.c: Ein Windows-Botnet zum Verkauf, das KI-Guthaben abzieht und Grok fragt, wie man sich versteckt

Am 23. September 2026 veröffentlichte Qrator Research Labs eine Analyse von x47.c, ein Windows-Botnetz, das von einem Bedrohungsakteur verkauft wird, der sich selbst WraithTools nennt und dessen Befehlspanel achtzehn Denial-of-Service-Methoden, Diebstahl von Zugangsdaten, SOCKS5-Relaying und zwei auf KI basierende Funktionen bewirbt. Eine davon, „AI API drain“, verbraucht einen gültigen OpenAI-, xAI- oder kompatiblen API-Schlüssel und gibt das Guthaben des Opfers direkt beim Anbieter aus, während die eigene Website des Opfers online bleibt. Die andere, „AI Stealth“, bittet Grok von xAI zu entscheiden, welche aus einer festen Gruppe von Persistenz- und Tarnmaßnahmen auf einen infizierten Host anzuwenden sind. Die Untersuchung stützt sich auf die Werbung, die Dokumentation und die Panel-Screenshots des Verkäufers statt auf einen beobachteten Einsatz: Darin werden weder ein Opfer noch eine Infektionszahl oder eine Verlustsumme genannt. Diese Darstellung stammt aus einem einzelnen Eintrag im Orca AI Incident Archive, das x47.c als Vorfall mittlerer Schwere führt, der als Waffe und als Fall von Zugangsdaten-Diebstahl gekennzeichnet ist, die KI-Beteiligung als bestätigt markiert und keinen Schaden in der realen Welt verzeichnet.

Was Qrator veröffentlichte – und was es nicht beobachtete

Qrator Research Labs ist ein Forschungsteam eines Netzwerksicherheitsanbieters, und seine Analyse ist das einzige Primärdokument, das hinter jeder Darstellung von x47.c steht. Infosecurity Magazine, das am 23. September über den Bericht berichtete, gibt an, dass die Ergebnisse aus der Werbeanzeige des Verkäufers, technischer Dokumentation, Screenshots von Panels und Folgekommunikation stammen. Der Bericht von SecurityWeek folgte am 26. September und beschreibt dieselbe Grundlage. Keines der beiden Medien berichtet über eine Infektion, ein nennbares Opfer, eine Datenverkehrsprobe oder eine in einem Labor analysierte wiederhergestellte Probe.

Die Anzeige selbst ist auf den 3. August datiert. Laut SecurityWeek bot der Verkäufer das Basispaket für 200 US-Dollar an und verlangte 150 US-Dollar für das Denial-of-Service-Add-on, während das gesamte x47.c-Paket mit 950 US-Dollar bepreist war. Infosecurity Magazine beschreibt die Spanne mit 200 bis 950 US-Dollar, wobei das Top-Paket zusätzlich Diebstahl von Zugangsdaten, Proxying und KI-gestützte Persistenz bietet.

Die nützlichste unabhängige Überprüfung der Behauptungen kam nicht von einem anderen Sicherheitsanbieter, sondern vom nationalen Computer-Notfallteam Thailands. ThaiCERT veröffentlichte am 28. September 2026 eine englischsprachige Warnmeldung, in der es heißt, dass „viele dieser Fähigkeiten auf Dokumentationen und Behauptungen des Verkäufers beruhen und ihre Wirksamkeit bei realen Angriffen noch nicht vollständig verifiziert wurde.“ Diese Warnmeldung ist jedoch kein unabhängiger Test, und sie erhebt auch nicht den Anspruch, einer zu sein: Ihre eigene Quellenangabe verweist auf den Artikel von SecurityWeek. Es handelt sich um ein nationales CERT, das einen Anbieterbericht wiedergibt – ein aussagekräftiges Signal dafür, dass der Bericht gelesen und ernst genommen wurde, und kein Beleg dafür, dass jemand die Malware nachgebaut hat.

Eine Einschränkung gehört hier festgehalten: Qrators eigene Seite konnte am 26. Oktober 2026 von diesem Rechner aus nicht abgerufen werden; der Host antwortete mit einer Autorisierungsaufforderung statt mit dem Artikel. Jedes direkte Zitat von Qrator in diesem Beitrag wird daher so wiedergegeben, wie SecurityWeek und Infosecurity Magazine es gedruckt haben, und sollte auch so gelesen werden.

Der KI-API-Drain: ein Angriff, der die Website stehen lässt

Im Denial-of-Service-Tab des Panels befindet sich neben den herkömmlichen Flood-Methoden die Funktion, die die Aufmerksamkeit auf sich gezogen hat. SecurityWeek beschreibt, dass der Bediener einen Modellnamen und einen gültigen API-Schlüssel für das Zielkonto bei OpenAI, xAI oder einer kompatiblen Chat-API angibt, woraufhin der Bot kostenpflichtige Anfragen sendet. Infosecurity Magazine beschreibt denselben Befehl so, dass ein gültiger API-Schlüssel entgegengenommen und wiederholt kostenpflichtige Anfragen direkt an den Anbieter gesendet werden.

Es lohnt sich, den Mechanismus nachzuvollziehen, denn er ist der Grund, warum der Angriff mit einer Web-Firewall schwer abzuwehren ist. Qrators Erklärung, wie SecurityWeek sie zitiert: „Weil diese Anfragen direkt an den Anbieter gehen, müssen sie nicht durch die Anwendung des Opfers laufen. Die Website kann erreichbar bleiben, während dem Konto hinter ihren KI-Funktionen die Credits ausgehen.“ Infosecurity Magazine ergänzt Qrators Punkt, dass das Filtern des Datenverkehrs an der Website sie nicht stoppen wird, und merkt an, dass OWASP diese Angriffsklasse als „Denial of Wallet“ bezeichnet.

Qrator beschrieb den Pitch sowie die Technik. Infosecurity Magazine berichtet, dass der Verkäufer die Methode gegen Chatbots, KI-angebundene Content-Management-Systeme, Trading-Bots und Scanner vermarktete, unter anderem als Dienstleistung, um sie gegen Konkurrenten einzusetzen, und verwies auf automatische Aufladungen als Mittel, damit Gebühren weiter anfallen, sobald ein Guthaben aufgebraucht ist. Wie viel der Angriff das Opfer kostet, hängt davon ab, wie viel zusätzliche Ausgaben das Konto zulässt.

Zwei Einschränkungen halten dies in einem angemessenen Verhältnis, und beide stammen von Qrator. Die erste ist, dass das Botnet nicht zwingend erforderlich ist: Wer einen gültigen Schlüssel besitzt, könnte denselben Angriff skripten. Die zweite ist, dass nicht gezeigt wird, dass die Drain-Funktion und der Credential-Stealer miteinander verbunden sind. Der Stealer führt AI-Site-Tokens unter seinen Zielen auf, doch Infosecurity Magazine berichtet, dass die Dokumentation nicht zeigt, dass diese Tokens in API-Schlüssel für den Drain-Befehl umgewandelt werden. Die beiden Fähigkeiten stehen in einem Produkt nebeneinander; die Kette vom gestohlenen Token zum geleerten Konto ist nicht dokumentiert.

AI Stealth: ein Auswählender, kein Befehlshaber

Die zweite KI-Funktion ist diejenige, mit der die Schlagzeilen aufmachen, und sie ist die bescheidenere der beiden. Qrators Beschreibung, zitiert von SecurityWeek: „Der Operator ermöglicht diese Aufrufe, indem er einen xAI-Schlüssel in den Build einbindet. Die bereitgestellten Statusmeldungen berichten über Startänderungen, Persistenzreparatur und Windows Defender-Ausnahmen. Sie zeigen auch lokale Fallback-Aktionen, wenn ein Modellaufruf fehlschlägt, sodass die Wartung des Hosts ohne eine erfolgreiche KI-Antwort fortgesetzt werden kann.“

Das Infosecurity Magazine bringt die Sache auf den Punkt: Das Modul nutzt xAIs Grok, um den infizierten Host zu bewerten und aus vordefinierten Aktionen für Persistenz und Tarnung auszuwählen. SecurityWeek ergänzt, dass diese Aktionen Autostart-Einträge und geplante Aufgaben umfassen und dass zudem optionale Fähigkeiten zum Process Hollowing und zur Rechteausweitung verfügbar sind.

Zusammengelesen beschreiben diese Details ein Modell, das als Selektor dient. Das Menü wird vom Autor der Malware geschrieben; Grok wählt daraus aus und nutzt dabei, was es über den Host beobachten kann. Der Fallback-Pfad ist wichtiger als der Modellaufruf: Ein Operator, der den Zugriff auf die API verliert oder dessen Schlüssel widerrufen wird, hat immer noch einen Bot, der sich selbst instand hält. Das Blockieren des Aufrufs beeinträchtigt die Funktion und setzt die Malware nicht außer Gefecht.

Das ist der Unterschied, den das Archiv zwischen x47.c und einem benachbarten Eintrag vom 22. September 2026, ClosedQuorum, zieht, in dem ein Sprachmodell-Gremium als das eigentliche Kommando- und Kontrollzentrum beschrieben wird. Bei x47.c sitzt das Modell in einem optionalen Modul und übernimmt nebenbei die Aktionsauswahl und den Credit-Abbau. Die KI-Rolle ist bestätigt, und sie ist unterstützend, nicht strukturell — was auch der Grund dafür ist, dass der Eintrag einen mittleren statt eines höheren Schweregrads trägt.

Der Rest des Sets – und wo die Behauptungen des Verkäufers über die Beweislage hinausgehen

Die KI-Funktionen sind zwei Zeilen in einer längeren Preisliste, und die herkömmlichen Fähigkeiten machen den Großteil des Produkts aus. SecurityWeek berichtet, dass der Denial-of-Service-Tab des Panels achtzehn Angriffsmethoden offenlegt: HTTP-Floods, das Auslaugen von KI-APIs, Slow-HTTP, TCP- und UDP-Floods, einen TLS-Stresser sowie verschiedene Reflexions- und Amplifikationstechniken.

Darum herum liegen die Komponenten, die daraus statt eines Angriffsskripts ein Botnet machen. SecurityWeek berichtet von dem Stealer, der Browser-Passwörter und Cookies, Discord-Tokens, Wallet-Daten und Tokens von KI-Websites abgreift, sowie von einem SOCKS5-Modul, das Datenverkehr über infizierte Rechner leitet, wobei der Betreiber mehrere Proxy-Verbindungen überwachen und deren Zustand sowie Timeouts prüfen kann. Die Fast-Flux-Konfiguration des Verkäufers bietet in ihrem Verwaltungs-Tab sechs Domains und acht IP-Adressen sowie Optionen für bevorzugte Hostnamen und IPs einzelner Hosts – allerdings können, wie Infosecurity Magazine anmerkt, mehrere dieser Domains auf einen einzigen Server verweisen.

Der Betreiber kann auf einem Host auch Software herunterladen, aktualisieren und entfernen, und der Verkäufer bewirbt ein Rootkit-Modul, um konkurrierende Artefakte von Maschinen zu entfernen, die es übernommen hat. Dieser letzte Punkt ist ebenso sehr ein geschäftliches wie ein technisches Detail: Ein Botnet, das mit einem Werkzeug zur Verdrängung von Konkurrenten verkauft wird, ist ein Produkt, das seinen installierten Bestand verteidigt.

Nicht alles davon hält stand. Infosecurity Magazine berichtet, dass Qrator keine Testergebnisse gefunden hat, die die beworbenen Modi zur Umgehung des Schutzes stützen. Die Behauptungen des Verkäufers und die Belege des Verkäufers sind nicht dasselbe, und der Bericht sagt es dort, wo er kann.

Was die Forscher den Verteidigern zu tun sagten

In dieser Geschichte gibt es keinen Patch, denn es gibt keine Sicherheitslücke, die gepatcht werden müsste. x47.c ist Malware, die von Hosts entfernt werden muss, und die Empfehlungen zur Verteidigung folgen dieser Unterscheidung.

Für die KI-Konten berichtet Infosecurity Magazine von Qrators Empfehlungen: exponierte KI-Schlüssel widerrufen, die Abrechnung mit der legitimen Nutzung abgleichen und Ausgabenlimits sowie Kontrollen für automatische Aufladungen festlegen. Der letzte Punkt ist derjenige, der für die Drain-Funktion am wichtigsten ist, da das Verkaufsargument des Verkäufers selbst darauf beruht, dass durch Aufladungen weiterhin Gebühren auflaufen, nachdem ein Guthaben aufgebraucht ist.

Für die Endpunkte empfiehlt Qrator die Bereinigung infizierter Maschinen. Der Sicherheitshinweis von ThaiCERT ergänzt eine Überwachungsliste, die sich direkt auf das abbilden lässt, was das AI-Stealth-Modul nach eigenen Angaben tut: unbefugte Starteinträge, geplante Aufgaben und Änderungen an Windows Defender-Ausschlüssen. Eine Organisation, die diese drei Dinge überwacht, überwacht die Orte, an denen das Modul laut eigenen Angaben schreibt.

Für das Netzwerk empfiehlt Qrator Denial-of-Service-Schutz sowohl auf der Anwendungs- als auch auf der Netzwerkebene – was, da der Drain-Verkehr niemals die Anwendung durchläuft, einen Schutz gegen die anderen siebzehn Methoden und nicht gegen den Drain darstellt.

Was die Aktenlage belegt – und was nicht

Die Archivdateien führen x47.c als einen eingetretenen KI-bezogenen Vorfall mittlerer Schwere, mit Konfidenzgrad A, keinem vermerkten Widerspruch, bestätigter KI-Beteiligung und keinem vermerkten realen Schaden. Diese Felder sind miteinander vereinbar, sobald die Provenienz im Blick behalten wird. Ein Konfidenzgrad beschreibt, wie gut eine Behauptung dokumentiert ist, nicht ob das Beschriebene jemandem tatsächlich widerfahren ist: Hier ist die Dokumentation stark, weil ein Forschungslabor, zwei Fachmedien und ein nationales CERT dieselbe Anzeige mit denselben Worten beschreiben. Nichts in dieser Kette zeigt einen Bot im Einsatz.

Was feststeht: Das Produkt existiert als Werbeanzeige, mit einer datierten Preisliste, einem dokumentierten Panel und zwei KI-Funktionen, deren Verhalten in den Statusmeldungen des Verkäufers selbst beschrieben wird. Was nicht feststeht: ein einziges Opfer, eine einzige Infektion, ein einziger Dollar an abgezogenem Guthaben oder irgendeine Bestätigung, dass der Drain-Befehl gegen ein aktives Konto ausgeführt wurde. Der Bericht behauptet nichts anderes, und die Verkäufer solcher Kits haben einen offensichtlichen Grund, zu übertreiben, was sie leisten können.

Der haltbarere Punkt ist kleiner als die Schlagzeile. Ein Denial-of-Wallet-Angriff braucht kein Botnetz, kein Modell und keinen neuartigen Exploit; er braucht einen API-Schlüssel und eine Schleife. Was x47.c hinzufügt, ist das Packaging – der Drain, der neben achtzehn Flood-Methoden auf demselben Panel verkauft wird, an denselben Käufer gerichtet. Dieses Packaging ist es, das aus einer skriptbaren Belästigung einen Einzelposten macht, und es ist der Teil dieses Berichts, der noch wahr sein wird, nachdem die konkreten Behauptungen über Grok geprüft oder vergessen wurden.