x47.c : un botnet Windows à vendre qui épuise les crédits d’IA et demande à Grok comment se cacher

Le 23 septembre 2026, Qrator Research Labs a publié une analyse de x47.c, un botnet Windows vendu par un acteur de la menace se faisant appeler WraithTools, dont le panneau de commande annonce dix-huit méthodes de déni de service, le vol d'identifiants, le relais SOCKS5 et deux fonctionnalités bâties sur l'IA. La première, « AI API drain », prend une clé d'API OpenAI, xAI ou compatible valide et dépense le crédit de la victime directement chez le fournisseur, tandis que le site web de la victime, lui, reste en ligne. L'autre, « AI Stealth », demande à Grok de xAI laquelle d'un ensemble fixe d'actions de persistance et de dissimulation appliquer à un hôte infecté. L'étude s'appuie sur l'annonce, la documentation et les captures d'écran du panneau du vendeur plutôt que sur un déploiement observé : aucune victime, aucun nombre d'infections ni aucun chiffre de perte n'y figure. Ce compte rendu est tiré d'un seul enregistrement de l'Orca AI Incident Archive, qui classe x47.c comme un incident de gravité moyenne, étiqueté comme une arme et comme une affaire de vol d'identifiants, marque l'implication de l'IA comme confirmée et ne consigne aucun dommage réel.

Ce que Qrator a publié, et ce qu’il n’a pas observé

Qrator Research Labs est l'équipe de recherche d'un fournisseur de sécurité réseau, et son analyse est le seul document principal derrière chaque compte rendu de x47.c. Infosecurity Magazine, qui a couvert le rapport le 23 septembre, indique que les conclusions sont tirées de l'annonce du vendeur, de la documentation technique, de captures d'écran du panneau et de messages de suivi. L'article de SecurityWeek a suivi le 26 septembre et décrit la même base. Aucun des deux médias ne fait état d'une infection, d'une victime identifiable, d'un échantillon de trafic ou d'un échantillon récupéré analysé en laboratoire.

L’annonce elle-même est datée du 3 août. Selon SecurityWeek, le vendeur proposait le package de base pour 200 $ et demandait 150 $ pour le module complémentaire de déni de service, l’ensemble du package x47.c étant proposé à 950 $. Infosecurity Magazine décrit une fourchette de 200 $ à 950 $, le package le plus complet ajoutant le vol d’identifiants, le recours à un proxy et la persistance assistée par IA.

La vérification indépendante la plus utile des affirmations est venue de l’équipe nationale de réponse aux urgences informatiques de Thaïlande plutôt que d’un autre fournisseur de sécurité. ThaiCERT a publié un avis en anglais le 28 septembre 2026 indiquant que « bon nombre de ces capacités reposent sur la documentation et les affirmations publiées par le vendeur, et leur efficacité lors d’attaques réelles n’a pas encore été pleinement vérifiée. » Cet avis ne constitue toutefois pas un test indépendant, et il ne prétend pas l’être : sa propre ligne de source renvoie à l’article de SecurityWeek. Il s’agit d’un CERT national qui reprend un rapport de fournisseur, ce qui est un signal significatif que le rapport a été lu et pris au sérieux, et non une preuve que quiconque a reproduit le logiciel malveillant.

Une limite doit être consignée ici. La page propre à Qrator n’a pas pu être récupérée depuis cette machine le 26 octobre 2026 ; l’hôte a répondu par un défi d’autorisation à la place de l’article. Chaque citation directe de Qrator dans cet article est donc reproduite telle que SecurityWeek et Infosecurity Magazine l’ont publiée, et doit être lue comme telle.

L'épuisement de l'API d'IA : une attaque qui laisse le site debout

Dans l’onglet Déni de service du panneau, à côté des méthodes d’inondation classiques, se trouve la fonctionnalité qui a retenu l’attention. SecurityWeek décrit l’opérateur fournissant un nom de modèle et une clé API valide pour le compte ciblé sur OpenAI, xAI ou une API de chat compatible, après quoi le bot envoie des requêtes facturables. Infosecurity Magazine décrit la même commande comme consistant à prendre une clé API valide et à envoyer des requêtes facturables répétées directement au fournisseur.

Le mécanisme vaut la peine d’être suivi, car c’est la raison pour laquelle l’attaque est difficile à contrer avec un pare-feu web. L’explication de Qrator, telle que SecurityWeek la cite : « Parce que ces requêtes vont directement au fournisseur, elles n’ont pas besoin de passer par l’application de la victime. Le site web peut rester accessible tandis que le compte derrière ses fonctionnalités d’IA épuise ses crédits. » Infosecurity Magazine ajoute le point de Qrator selon lequel filtrer le trafic au niveau du site web ne les arrêtera pas, et note que l’OWASP qualifie cette classe d’attaque de « denial of wallet ».

Qrator a décrit l’argumentaire de vente ainsi que la technique. Infosecurity Magazine rapporte que le vendeur commercialisait la méthode contre les chatbots, les systèmes de gestion de contenu connectés à l’IA, les bots de trading et les scanners, y compris en tant que service à utiliser contre des concurrents, et évoquait les recharges automatiques comme moyen de continuer à accumuler des frais une fois le solde épuisé. Le coût de l’attaque pour la victime dépend du montant des dépenses supplémentaires que le compte autorise.

Deux réserves permettent de garder cela proportionné, et toutes deux proviennent de Qrator. La première est que le botnet n’est pas strictement nécessaire : quiconque détient une clé valide pourrait scripter la même attaque. La seconde est qu’il n’est pas démontré que la fonction de drain et le voleur d’identifiants sont reliés entre eux. Le voleur d’identifiants recense les jetons de sites d’IA parmi ses cibles, mais Infosecurity Magazine rapporte que la documentation ne montre pas que ces jetons sont transformés en clés API pour la commande drain. Les deux capacités coexistent dans un même produit ; la chaîne allant du jeton volé au compte vidé n’est pas documentée.

AI Stealth : qui choisit, pas qui commande

La deuxième fonctionnalité d’IA est celle que les gros titres mettent en avant, et c’est la plus modeste des deux. La description de Qrator, citée par SecurityWeek : « L’opérateur permet ces appels en incluant une clé xAI dans la compilation. Les messages d’état fournis signalent les modifications au démarrage, la réparation de la persistance et les exclusions de Windows Defender. Ils montrent également des actions de repli locales lorsqu’un appel au modèle échoue, ce qui permet à la maintenance de l’hôte de se poursuivre sans réponse réussie de l’IA. »

Infosecurity Magazine décrit la situation sans détour : le module utilise Grok de xAI pour évaluer l'hôte infecté et choisir parmi des actions prédéfinies de persistance et de dissimulation. SecurityWeek ajoute que ces actions incluent des entrées de démarrage et des tâches planifiées, et que des capacités optionnelles de process hollowing et d'élévation de privilèges sont également disponibles.

Lus ensemble, ces détails décrivent un modèle utilisé comme sélecteur. Le menu est écrit par l'auteur du malware ; Grok y choisit, en utilisant tout ce qu'il peut observer de l'hôte. Le chemin de repli importe davantage que l'appel au modèle : un opérateur qui perd l'accès à l'API, ou dont la clé est révoquée, dispose encore d'un bot qui s'auto-entretient. Bloquer l'appel dégrade la fonctionnalité et ne désactive pas le malware.

C’est la distinction que l’archive établit entre x47.c et une entrée voisine du 22 septembre 2026, ClosedQuorum, où un panel de modèles de langage est décrit comme le cerveau de commandement et de contrôle lui-même. Dans x47.c, le modèle se trouve dans un module optionnel, effectuant en marge la sélection des actions et l’épuisement des crédits. Le rôle de l’IA est confirmé et il est d’assistance, non structurel — ce qui explique aussi pourquoi l’enregistrement porte une gravité moyenne plutôt qu’une gravité plus élevée.

Le reste du kit, et les points où les affirmations du vendeur dépassent les preuves

Les fonctionnalités d’IA ne représentent que deux lignes dans une liste de prix plus longue, et les capacités conventionnelles constituent l’essentiel du produit. SecurityWeek rapporte que l’onglet déni de service du panneau expose dix-huit méthodes d’attaque : inondations HTTP, épuisement d’API d’IA, HTTP lent, inondations TCP et UDP, un outil de stress TLS, et diverses techniques de réflexion et d’amplification.

Autour de cela se trouvent les éléments qui en font un botnet plutôt qu’un script d’attaque. SecurityWeek rapporte que le stealer collecte les mots de passe et cookies de navigateur, les jetons Discord, les données de portefeuille et les jetons de sites d’IA, ainsi qu’un module SOCKS5 qui relaie le trafic via les machines infectées, l’opérateur pouvant surveiller plusieurs connexions proxy et vérifier leur état de santé et leurs délais d’expiration. La configuration fast-flux du vendeur propose six domaines et huit adresses IP dans son onglet de gestion, ainsi que des options de nom d’hôte et d’adresse IP préférés pour des hôtes individuels — bien que, comme le note Infosecurity Magazine, plusieurs de ces domaines puissent pointer vers un seul serveur.

L’opérateur peut aussi télécharger, mettre à jour et supprimer des logiciels sur un hôte, et le vendeur promeut un module de rootkit destiné à supprimer les artefacts de rivaux des machines dont il s’est emparé. Ce dernier élément est autant un détail commercial que technique : un botnet vendu avec un outil pour évincer des concurrents est un produit qui défend sa base installée.

{{1}}Tout ne tient pas debout.{{/1}} {{2}}Infosecurity Magazine rapporte que Qrator n'a trouvé aucun résultat de test étayant les modes de contournement de protection annoncés.{{/2}} {{3}}Les affirmations du vendeur et les preuves du vendeur ne sont pas la même chose, et le rapport le dit dans la mesure du possible.{{/3}}

Ce que les chercheurs ont dit aux défenseurs de faire

Il n'y a pas de correctif dans cette histoire, car il n'y a pas de vulnérabilité à corriger. x47.c est un logiciel malveillant qui doit être supprimé des hôtes, et les conseils défensifs se divisent selon cette ligne.

Pour les comptes d’IA, Infosecurity Magazine rapporte les recommandations de Qrator : révoquer les clés d’IA exposées, vérifier la facturation par rapport à l’usage légitime et fixer des limites de dépenses ainsi que des contrôles sur les rechargements automatiques. Ce dernier point est celui qui compte le plus pour la fonctionnalité de ponction, car l’argument de vente du vendeur lui-même repose sur le fait que les rechargements continuent de générer des frais après l’épuisement du solde.

Pour les points de terminaison, Qrator recommande le nettoyage des machines infectées. L'avis de ThaiCERT ajoute une liste de surveillance qui correspond directement à ce que le module AI Stealth déclare faire : des entrées de démarrage non autorisées, des tâches planifiées et des modifications apportées aux exclusions de Windows Defender. Une organisation qui surveille ces trois éléments surveille les emplacements où le module indique écrire.

Pour le réseau, Qrator recommande une protection contre les dénis de service aux couches application et réseau — ce qui, étant donné que le trafic de drain ne traverse jamais l’application, constitue une protection contre les dix-sept autres méthodes plutôt que contre le drain.

Ce que le dossier établit, et ce qu’il n’établit pas

Les fichiers d’archive classent x47.c comme un incident lié à l’IA effectivement survenu, de gravité moyenne, avec un niveau de confiance A, aucune contestation enregistrée, une implication de l’IA confirmée et aucun préjudice réel enregistré. Ces champs sont cohérents entre eux dès lors que l’on garde la provenance à l’esprit. Un niveau de confiance décrit la qualité de la documentation d’une affirmation, et non si la chose décrite est arrivée à quelqu’un : ici, la documentation est solide parce qu’un laboratoire de recherche, deux médias spécialisés et un CERT national décrivent tous la même annonce dans les mêmes termes. Rien dans cette chaîne ne montre un bot sur le terrain.

Ce qui est établi : le produit existe sous forme d’annonce, avec une grille tarifaire datée, un panneau documenté et deux fonctionnalités d’IA dont le comportement est décrit dans les messages de statut du vendeur lui-même. Ce qui n’est pas établi : une seule victime, une seule infection, un seul dollar de crédit siphonné, ou une quelconque confirmation que la commande de vidage a été exécutée sur un compte réel. Le rapport ne prétend pas le contraire, et les vendeurs de tels kits ont une raison évidente de surestimer ce qu’ils peuvent faire.

Le point le plus durable est plus modeste que le gros titre. Une attaque par déni de portefeuille n’a besoin ni d’un botnet, ni d’un modèle, ni d’un exploit inédit ; elle a besoin d’une clé API et d’une boucle. Ce que x47.c ajoute, c’est l’emballage — le drain vendu aux côtés de dix-huit méthodes de flood sur le même panneau, destiné au même acheteur. C’est cet emballage qui transforme une nuisance automatisable en poste budgétaire, et c’est la partie de ce rapport qui restera vraie après que les affirmations spécifiques sur Grok auront été testées ou oubliées.