x47.c: una botnet de Windows en venta que drena crédito de IA y le pregunta a Grok cómo ocultarse

El 23 de septiembre de 2026, Qrator Research Labs publicó un análisis de x47.c, una botnet de Windows vendida por un actor de amenazas que se hace llamar WraithTools, cuyo panel de comandos anuncia dieciocho métodos de denegación de servicio, robo de credenciales, retransmisión SOCKS5 y dos funciones basadas en IA. Una de ellas, "AI API drain", toma una clave de API válida de OpenAI, xAI o compatible y gasta el crédito de la víctima directamente en el proveedor mientras el propio sitio web de la víctima permanece en línea. La otra, "AI Stealth", pregunta a Grok de xAI cuál de un conjunto fijo de acciones de persistencia y ocultamiento debe aplicarse a un host infectado. La investigación se basa en el anuncio del vendedor, su documentación y capturas de pantalla del panel, y no en un despliegue observado: en ella no aparece ninguna víctima, cifra de infecciones ni cifra de pérdidas. Este relato se basa en un único registro de el Orca AI Incident Archive, que clasifica a x47.c como un incidente de gravedad media etiquetado como arma y como caso de robo de credenciales, marca la participación de la IA como confirmada y no registra ningún daño en el mundo real.

Lo que Qrator publicó y lo que no observó

Qrator Research Labs es el equipo de investigación de un proveedor de seguridad de redes, y su informe es el único documento principal que respalda todos los relatos sobre x47.c. Infosecurity Magazine, que cubrió el informe el 23 de septiembre, afirma que las conclusiones se extraen del anuncio del vendedor, la documentación técnica, las capturas de pantalla del panel y los mensajes de seguimiento. El artículo de SecurityWeek apareció después, el 26 de septiembre, y describe la misma base. Ninguno de los medios informa de una infección, una víctima identificable, una muestra de tráfico ni una muestra recuperada analizada en un laboratorio.

El propio anuncio está fechado el 3 de agosto. Según SecurityWeek, el vendedor ofrecía el paquete básico por $200 y pedía $150 por el complemento de denegación de servicio, con el paquete completo x47.c a un precio de $950. Infosecurity Magazine describe el rango como de $200 a $950, y el paquete superior añade robo de credenciales, uso de proxy y persistencia asistida por IA.

La verificación independiente más útil de las afirmaciones provino del equipo nacional de respuesta a emergencias informáticas de Tailandia, y no de otro proveedor de seguridad. ThaiCERT publicó un aviso en inglés el 28 de septiembre de 2026 en el que se afirmaba que «muchas de estas capacidades se basan en documentación y afirmaciones publicadas por el vendedor, y su eficacia en ataques del mundo real aún no se ha verificado por completo». Sin embargo, ese aviso no es una prueba independiente, y no pretende serlo: su propia línea de fuentes remite al artículo de SecurityWeek. Se trata de un CERT nacional que reitera un informe de un proveedor, lo cual es una señal significativa de que el informe fue leído y tomado en serio, y no una prueba de que alguien haya reproducido el malware.

Una limitación debe quedar registrada aquí. La propia página de Qrator no pudo recuperarse desde esta máquina el 26 de octubre de 2026; el host respondió con un desafío de autorización en lugar del artículo. Por lo tanto, cada cita directa de Qrator en este artículo se reproduce tal como la publicaron SecurityWeek e Infosecurity Magazine, y debe leerse en ese sentido.

El drenaje de la API de IA: un ataque que deja el sitio en pie

En la pestaña de denegación de servicio del panel, junto a los métodos de inundación convencionales, se encuentra la función que ha llamado la atención. SecurityWeek describe al operador proporcionando un nombre de modelo y una clave API válida para la cuenta objetivo en OpenAI, xAI o una API de chat compatible, tras lo cual el bot envía solicitudes facturables. Infosecurity Magazine describe el mismo comando como tomar una clave API válida y enviar solicitudes facturables repetidas directamente al proveedor.

Merece la pena seguir el mecanismo, porque es la razón por la que el ataque es difícil de contrarrestar con un firewall web. La explicación de Qrator, tal como la cita SecurityWeek: "Como esas solicitudes van directamente al proveedor, no necesitan pasar por la aplicación de la víctima. El sitio web puede seguir siendo accesible mientras la cuenta que hay detrás de sus funciones de IA se queda sin créditos." Infosecurity Magazine añade el argumento de Qrator de que filtrar el tráfico en el sitio web no las detendrá, y señala que OWASP denomina esta clase de ataque «denial of wallet».

Qrator describió tanto la propuesta como la técnica. Infosecurity Magazine informa que el vendedor comercializaba el método para atacar chatbots, sistemas de gestión de contenidos conectados a IA, bots de trading y escáneres, incluso como servicio para usar contra competidores, y señaló las recargas automáticas como una forma de mantener los cargos acumulándose una vez que se agota el saldo. Cuánto le cuesta el ataque a la víctima depende de cuánto gasto adicional permita la cuenta.

Dos matices mantienen esto en proporción, y ambos provienen de Qrator. El primero es que la botnet no es estrictamente necesaria: cualquiera que posea una clave válida podría automatizar el mismo ataque. El segundo es que no se demuestra que la función de drenaje y el ladrón de credenciales estén conectados entre sí. El ladrón incluye tokens de sitios de IA entre sus objetivos, pero Infosecurity Magazine informa de que la documentación no muestra que esos tokens se conviertan en claves de API para el comando de drenaje. Las dos capacidades están una al lado de la otra en un mismo producto; no está documentada la cadena desde el token robado hasta la cuenta drenada.

AI Stealth: un selector, no un comandante

La segunda función de IA es la que encabeza los titulares, y es la más modesta de las dos. La descripción de Qrator, citada por SecurityWeek: «El operador habilita esas llamadas incluyendo una clave de xAI en la compilación. Los mensajes de estado proporcionados informan sobre cambios en el inicio, reparación de persistencia y exclusiones de Windows Defender. También muestran acciones de respaldo locales cuando falla una llamada al modelo, lo que permite que el mantenimiento del host continúe sin una respuesta exitosa de la IA».

Infosecurity Magazine lo dice sin rodeos: el módulo utiliza Grok de xAI para evaluar el host infectado y elegir entre acciones predefinidas de persistencia y ocultamiento. SecurityWeek añade que esas acciones incluyen entradas de inicio y tareas programadas, y que también están disponibles capacidades opcionales de vaciado de procesos y escalada de privilegios.

Leídos en conjunto, esos detalles describen un modelo utilizado como selector. El menú lo escribe el autor del malware; Grok elige de él, usando todo lo que puede observar sobre el host. La ruta de respaldo importa más que la llamada al modelo: un operador que pierde el acceso a la API, o cuya clave es revocada, sigue teniendo un bot que se mantiene a sí mismo. Bloquear la llamada degrada la funcionalidad y no desactiva el malware.

Esa es la distinción que el archivo establece entre x47.c y una entrada vecina del 22 de septiembre de 2026, ClosedQuorum, donde un panel de modelos de lenguaje se describe como el propio cerebro de mando y control. En x47.c el modelo reside en un módulo opcional y realiza la selección de acciones y el drenaje de créditos de forma auxiliar. El papel de la IA está confirmado y es asistencial, no estructural, lo que también explica por qué el registro tiene una gravedad media en lugar de una mayor.

El resto del kit, y dónde las afirmaciones del vendedor van más allá de la evidencia

Las funciones de IA son dos filas dentro de una lista de precios más extensa, y las capacidades convencionales constituyen la mayor parte del producto. SecurityWeek informa que la pestaña de denegación de servicio del panel expone dieciocho métodos de ataque: inundaciones HTTP, agotamiento de API de IA, HTTP lento, inundaciones TCP y UDP, un estresador TLS, y diversas técnicas de reflexión y amplificación.

Alrededor de eso están las partes que lo convierten en una botnet en lugar de un script de ataque. SecurityWeek informa que el stealer recopila contraseñas y cookies del navegador, tokens de Discord, datos de carteras y tokens de sitios de IA, además de un módulo SOCKS5 que retransmite tráfico a través de máquinas infectadas, con el operador capacitado para supervisar múltiples conexiones proxy y comprobar su estado de salud y sus tiempos de espera. La configuración fast-flux del vendedor ofrece seis dominios y ocho direcciones IP en su pestaña de administración, junto con opciones de nombre de host e IP preferidos para hosts individuales; sin embargo, como señala Infosecurity Magazine, varios de esos dominios pueden apuntar a un único servidor.

El operador también puede descargar, actualizar y eliminar software en un host, y el vendedor promociona un módulo de rootkit para eliminar los artefactos de los rivales de las máquinas que ha tomado. Ese último elemento es un detalle comercial tanto como técnico: una botnet que se vende con una herramienta para desalojar a los competidores es un producto que defiende su base instalada.

No todo se sostiene. Infosecurity Magazine informa de que Qrator no encontró resultados de pruebas que respalden los modos de elusión de protecciones anunciados. Las afirmaciones del vendedor y las pruebas del vendedor no son lo mismo, y el informe lo señala donde puede.

Lo que los investigadores les dijeron a los defensores que hicieran

No hay ningún parche en esta historia, porque no hay ninguna vulnerabilidad que parchear. x47.c es malware que debe eliminarse de los hosts, y las recomendaciones defensivas se dividen conforme a esa distinción.

Para las cuentas de IA, Infosecurity Magazine informa de las recomendaciones de Qrator: revocar las claves de IA expuestas, comprobar la facturación comparándola con el uso legítimo y establecer límites de gasto y controles sobre las recargas automáticas. Ese último punto es el que más importa para la función de drenaje, ya que el propio argumento de venta del vendedor depende de que las recargas mantengan la acumulación de cargos después de que se agote un saldo.

Para los endpoints, Qrator recomienda la limpieza de las máquinas infectadas. El aviso de ThaiCERT añade una lista de monitorización que se corresponde directamente con lo que el módulo AI Stealth informa que hace: entradas de inicio no autorizadas, tareas programadas y cambios en las exclusiones de Windows Defender. Una organización que vigila esas tres cosas está vigilando los lugares donde el módulo dice que escribe.

Para la red, Qrator recomienda protección contra denegación de servicio tanto en la capa de aplicación como en la de red, lo cual, dado que el tráfico de drenaje nunca atraviesa la aplicación, constituye una protección contra los otros diecisiete métodos y no contra el drenaje.

Lo que el expediente establece, y lo que no

El archivo cataloga x47.c como un incidente relacionado con la IA ya materializado, de gravedad media, con confianza calificada como A, sin disputa registrada, participación de IA confirmada y sin daños reales registrados. Esos campos son coherentes entre sí una vez que se tiene en cuenta la procedencia. Una calificación de confianza describe cuán bien documentada está una afirmación, no si lo descrito le ha ocurrido a alguien: aquí la documentación es sólida porque un laboratorio de investigación, dos medios del sector y un CERT nacional describen el mismo anuncio en los mismos términos. Nada en esa cadena muestra un bot en el terreno.

Lo que está establecido: el producto existe como anuncio, con una lista de precios fechada, un panel documentado y dos funciones de IA cuyo comportamiento se describe en los propios mensajes de estado del vendedor. Lo que no está establecido: una sola víctima, una sola infección, un solo dólar de crédito drenado, o cualquier confirmación de que el comando de drenaje se haya ejecutado contra una cuenta real. El informe no afirma lo contrario, y los vendedores de estos kits tienen una razón obvia para exagerar lo que pueden hacer.

El punto más duradero es menos llamativo que el titular. Un ataque de denegación de cartera no necesita una botnet, un modelo ni un exploit novedoso; necesita una clave de API y un bucle. Lo que añade x47.c es el empaquetado: el drain vendido junto a dieciocho métodos de inundación en el mismo panel, dirigido al mismo comprador. Ese empaquetado es lo que convierte una molestia programable en un concepto facturable, y es la parte de este informe que seguirá siendo cierta después de que las afirmaciones concretas sobre Grok se hayan puesto a prueba o se hayan olvidado.