AI Safety Incidents

x47.c: בוטנט Windows למכירה שמרוקן קרדיט AI ושואל את Grok איך להסתתר

מחבר

Gideon Frost

תאריך פרסום

Oct 26, 2026

מודלים אחרונים · 20צפו בכל המודלים →

בנצ'מרקים: Artificial Analysis · מתעדכן יומית

חזרה לכל הפוסטים

ב-23 בספטמבר 2026 פרסמה Qrator Research Labs ניתוח של x47.c, בוטנט Windows הנמכר על ידי שחקן איום הקורא לעצמו WraithTools, שלוח הפקודות שלו מפרסם שמונה-עשרה שיטות מניעת שירות, גניבת אישורים, העברת SOCKS5 ושתי תכונות המבוססות על בינה מלאכותית. האחת, "AI API drain", לוקחת מפתח API תקף של OpenAI, xAI או תואם ומבזבזת את הקרדיט של הקורבן ישירות אצל הספק בעוד האתר של הקורבן עצמו נשאר באוויר. האחרת, "AI Stealth", שואלת את Grok של xAI אילו פעולות מתוך קבוצה קבועה של פעולות התמדה והסתרה להחיל על מארח נגוע. המחקר נשאב מפרסומת המוכר, מתיעוד ומצילומי מסך של הלוח ולא מפריסה שנצפתה: לא מופיעים בו קורבן, מספר הדבקות או נתון נזק. תיאור זה נשאב מרשומה בודדת בthe Orca AI Incident Archive, אשר מסווגת את x47.c כתקרית בעוצמה בינונית המתויגת כמקרה של כלי נשק וגניבת אישורים, מסמנת מעורבות בינה מלאכותית כמאומתת, ואינה מתעדת נזק בעולם האמיתי.

מה Qrator פרסם, ומה שהוא לא הבחין בו

Qrator Research Labs הוא צוות מחקר של ספק אבטחת רשת, והמסמך שכתב הוא המסמך הראשי היחיד שעומד מאחורי כל תיאור של x47.c. Infosecurity Magazine, שסיקר את הדו"ח ב-23 בספטמבר, מציין שהממצאים מבוססים על פרסומת המוכר, תיעוד טכני, צילומי מסך של פאנל והודעות המשך. הדיווח של SecurityWeek בא לאחר מכן, ב-26 בספטמבר, ומתאר את אותו בסיס. אף אחד משני כלי התקשורת לא מדווח על הדבקה, קורבן שניתן לנקוב בשמו, דגימת תעבורה או דגימה ששוחזרה ונותחה במעבדה.

הפרסומת עצמה מתוארכת ל-3 באוגוסט. לפי SecurityWeek, המוכר הציע את חבילת הבסיס ב-200 דולר וביקש 150 דולר עבור תוספת התקפת מניעת שירות, כשהחבילה המלאה של x47.c מתומחרת ב-950 דולר. Infosecurity Magazine מתאר את הטווח כ-200 עד 950 דולר, כשהחבילה הבכירה מוסיפה גניבת פרטי התחברות, שימוש בפרוקסי והתמדה בעזרת בינה מלאכותית.

הבדיקה העצמאית המועילה ביותר של הטענות הגיעה מצוות התגובה הלאומי לאירועי חירום מחשביים של תאילנד, ולא מספק אבטחה אחר. ThaiCERT פרסם ב-28 בספטמבר 2026 התראה באנגלית ובה נאמר כי "רבות מהיכולות הללו מבוססות על תיעוד וטענות שפרסם המוכר, ויעילותן בהתקפות בעולם האמיתי טרם אומתה במלואה." עם זאת, התראה זו אינה בדיקה עצמאית, והיא אינה מתיימרת להיות כזו: שורת המקור שלה עצמה מפנה למאמר של SecurityWeek. זהו CERT לאומי שמצטט מחדש דוח של ספק, וזה אות משמעותי לכך שהדוח נקרא ונלקח ברצינות, ולא ראיה לכך שמישהו שחזר את התוכנה הזדונית.

מגבלה אחת חייבת להירשם כאן. לא ניתן היה לאחזר את הדף של Qrator עצמו מהמחשב הזה ב-26 באוקטובר 2026; המארח השיב באתגר הרשאה במקום המאמר. לפיכך, כל ציטוט ישיר מ-Qrator בכתבה זו מובא כפי ש-SecurityWeek ו-Infosecurity Magazine הדפיסו אותו, ויש לקרוא אותו כך.

ניקוז ה-API של ה-AI: מתקפה שמשאירה את האתר עומד על תילו

בלשונית מניעת השירות של הפאנל, לצד שיטות ההצפה המקובלות, נמצאת התכונה שמשכה את תשומת הלב. SecurityWeek מתאר שהמפעיל מספק שם מודל ומפתח API תקף עבור החשבון המיועד ב-OpenAI, ב-xAI או ב-API צ'אט תואם, ולאחר מכן הבוט שולח בקשות חייבות בתשלום. Infosecurity Magazine מתאר את אותה פקודה ככזו שמקבלת מפתח API תקף ושולחת בקשות חייבות בתשלום חוזרות ישירות לספק.

כדאי לעקוב אחר המנגנון, משום שהוא הסיבה לכך שקשה להתמודד עם ההתקפה באמצעות חומת אש אינטרנטית. ההסבר של Qrator, כפי ש-SecurityWeek מצטט אותו: "מכיוון שהבקשות האלה הולכות ישירות לספק, הן אינן צריכות לעבור דרך האפליקציה של הקורבן. האתר יכול להישאר נגיש בזמן שלחשבון שמאחורי תכונות ה-AI שלו נגמרים הקרדיטים." Infosecurity Magazine מוסיף את נקודתו של Qrator שלפיה סינון תעבורה באתר לא יעצור אותן, ומציין ש-OWASP מכנה סוג התקפה זה denial of wallet.

Qrator תיארה את המצג השיווקי וכן את הטכניקה. Infosecurity Magazine מדווחת שהמוכר שיווק את השיטה נגד צ'אטבוטים, מערכות ניהול תוכן מחוברות ל-AI, בוטים למסחר וסורקים, כולל כשירות לשימוש נגד מתחרים, והצביע על טעינות אוטומטיות כדרך להמשיך לצבור חיובים לאחר שהיתרה נגמרת. כמה התקיפה עולה לקורבן תלוי בכמה הוצאה נוספת החשבון מאפשר.

שתי הסתייגויות משמרות את הדברים בפרופורציה, ושתיהן מגיעות מ-Qrator. הראשונה היא שהבוטנט אינו הכרחי בהחלט: כל מי שמחזיק במפתח תקף יכול לתסרט את אותה התקיפה. השנייה היא שתכונת הניקוז וגונב פרטי הגישה לא מוצגים כמחוברים זה לזה. גונב הפרטים מפרט אסימונים של אתרי AI בין מטרותיו, אך Infosecurity Magazine מדווח כי התיעוד אינו מראה שאסימונים אלה מומרים למפתחות API עבור פקודת הניקוז. שתי היכולות עומדות זו לצד זו במוצר אחד; השרשרת מאסימון גנוב לחשבון מרוקן אינה מתועדת.

HTML card headed 'Two AI modules, two very different jobs', with a strip beneath reading 'Qrator Research Labs, 23 September 2026 — both features described from the seller's documentation'. A two-column layout follows. The left column, headed 'AI API drain', lists: what it needs — a valid API key for OpenAI, xAI or a compatible chat API, plus a model name; what it does — sends repeated billable requests straight to the provider, bypassing the victim's application; why it is hard to filter — the site stays reachable while the account behind its AI features runs out of credit; who it targets — chatbots, AI-connected content management systems, trading bots and scanners; what Qrator notes — anyone holding a valid key could script the same attack. The right column, headed 'AI Stealth', lists: what it needs — an xAI key compiled into the build; what it does — Grok assesses the infected host and chooses from predefined persistence and concealment actions, including startup entries and scheduled tasks; what the status messages report — startup changes, persistence repair and Windows Defender exclusions; what happens when the call fails — local fallback actions continue host maintenance without a model response; what it is not — an autonomous planner, since the actions it chooses between are predefined. A footer reads 'Source: Qrator Research Labs via SecurityWeek (26 September 2026) and Infosecurity Magazine (23 September 2026).'

AI Stealth: בוחר, לא מפקד

תכונת הבינה המלאכותית השנייה היא זו שמובילה בכותרות, והיא הצנועה יותר מבין השתיים. התיאור של Qrator, כפי שצוטט ב-SecurityWeek: "המפעיל מאפשר את הקריאות הללו על ידי הכללת מפתח xAI בבנייה. הודעות הסטטוס שסופקו מדווחות על שינויים באתחול, תיקון התמדה והחרגות של Windows Defender. הן גם מציגות פעולות גיבוי מקומיות כאשר קריאת מודל נכשלת, ומאפשרות לתחזוקת המארח להמשיך ללא תגובת AI מוצלחת."

Infosecurity Magazine מציג את הדבר בבירור: המודול משתמש ב-Grok של xAI כדי להעריך את המארח הנגוע ולבחור מתוך פעולות התמדה והסתרה מוגדרות מראש. SecurityWeek מוסיף שפעולות אלו כוללות ערכי הפעלה ומשימות מתוזמנות, ושזמינות גם יכולות אופציונליות של process hollowing והסלמת הרשאות.

כשקוראים אותם יחד, הפרטים הללו מתארים מודל המשמש כבורר. התפריט נכתב על ידי מחבר התוכנה הזדונית; Grok בוחר ממנו, תוך שימוש בכל מה שהוא יכול להבחין בו לגבי המארח. נתיב הגיבוי חשוב יותר מקריאת המודל: מפעיל שאיבד גישה ל-API, או שמפתחו בוטל, עדיין מחזיק בבוט שמתחזק את עצמו. חסימת הקריאה מחלישה את היכולת ואינה מנטרלת את התוכנה הזדונית.

זו ההבחנה שהארכיון עורך בין x47.c לבין רשומה שכנה מ-22 בספטמבר 2026, ClosedQuorum, שבה פאנל של מודל שפה מתואר כמוח עצמו של הפיקוד והשליטה. ב-x47.c המודל יושב במודול אופציונלי ומבצע בחירת פעולות וניקוז קרדיטים מן הצד. תפקיד ה-AI מאושר והוא מסייע, לא מבני — וזו גם הסיבה שהרשומה נושאת חומרה בינונית ולא גבוהה יותר.

שאר הערכה, והיכן שטענות המוכר עולות על הראיות

תכונות ה-AI הן שתי שורות ברשימת מחירים ארוכה יותר, והיכולות הקונבנציונליות הן מה שרוב המוצר מורכב ממנו. SecurityWeek מדווחת שלשונית מניעת השירות (denial-of-service) בפאנל חושפת שמונה-עשרה שיטות תקיפה: הצפות HTTP, ניקוז AI API, HTTP איטי, הצפות TCP ו-UDP, כלי עומס TLS, וטכניקות שיקוף והגברה שונות.

סביבם נמצאים החלקים שהופכים אותו לרשת בוטים ולא לסקריפט תקיפה. SecurityWeek מדווח שהגנב אוסף סיסמאות דפדפן ועוגיות, אסימוני Discord, נתוני ארנקים ואסימונים של אתרי AI, וכן מודול SOCKS5 שמעביר תעבורה דרך מחשבים נגועים, כאשר המפעיל יכול לנטר מספר חיבורי פרוקסי ולבדוק את מצב הבריאות והזמנים הקצובים שלהם. תצורת ה-fast-flux של המוכר מציעה שישה דומיינים ושמונה כתובות IP בלשונית הניהול שלו, יחד עם אפשרויות של שם מארח מועדף ו-IP עבור מארחים בודדים — אם כי, כפי שמציין Infosecurity Magazine, כמה מהדומיינים הללו יכולים להצביע על שרת אחד בלבד.

המפעיל יכול גם להוריד, לעדכן ולהסיר תוכנה במארח, והמוכר מקדם מודול רוטקיט להסרת רכיבים מתחרים ממכונות שהוא השתלט עליהן. הפריט האחרון הוא פרט עסקי לא פחות מטכני: בוטנט שנמכר עם כלי לגירוש מתחרים הוא מוצר שמגן על בסיס ההתקנות שלו.

לא הכול מחזיק מעמד. Infosecurity Magazine מדווח כי Qrator לא מצאה תוצאות בדיקה התומכות במצבי עקיפת ההגנה המפורסמים. טענות המוכר והראיות של המוכר אינן אותו דבר, והדוח אומר זאת היכן שהוא יכול.

HTML card headed 'What $200 to $950 buys, as advertised', with a strip beneath reading 'from the seller's advertisement dated 3 August 2026, as reported by SecurityWeek and Infosecurity Magazine'. Three price tiles sit across the top: base package $200; denial-of-service add-on $150; full package $950. Below, two panels. The left panel, headed 'The panel's denial-of-service tab', reads '18 attack methods' and lists: HTTP floods; AI API draining; slow HTTP; TCP floods; UDP floods; TLS stresser; reflection and amplification. The right panel, headed 'The rest of the package', lists: credential stealer covering browser passwords and cookies, Discord tokens, wallet data and AI-site tokens; SOCKS5 relay with per-connection health and timeout monitoring; fast-flux configuration offering 6 domains and 8 IP addresses; optional process hollowing and privilege escalation; a rootkit module for removing rival artifacts. A footer reads 'Caveat from Infosecurity Magazine: Qrator found no test results supporting the advertised protection-bypass modes. Prices are the seller's asking prices, not observed transactions.'

מה שהחוקרים אמרו למגנים לעשות

אין טלאי בסיפור הזה, כי אין פגיעות שצריך לתקן. x47.c היא תוכנה זדונית שחייבת להיות מוסרת מהמארחים, והעצה ההגנתית מתפצלת בהתאם לקו הזה.

עבור חשבונות ה-AI, Infosecurity Magazine מדווח על ההמלצות של Qrator: לבטל מפתחות AI חשופים, לבדוק את החיוב מול שימוש לגיטימי, ולהגדיר מגבלות הוצאה ובקרות על טעינות אוטומטיות. הפריט האחרון הוא החשוב ביותר עבור תכונת הניקוז, מכיוון שההצעה של המוכר עצמו תלויה בכך שטעינות אוטומטיות ימשיכו לצבור חיובים לאחר שהיתרה נגמרה.

לגבי נקודות הקצה, Qrator ממליצה על ניקוי מכונות נגועות. ההתראה של ThaiCERT מוסיפה רשימת ניטור שמתמפה ישירות למה שמודול AI Stealth מדווח שהוא עושה: רשומות אתחול בלתי מורשות, משימות מתוזמנות ושינויים בהחרגות של Windows Defender. ארגון שעוקב אחרי שלושת הדברים האלה עוקב אחרי המקומות שהמודול אומר שהוא כותב אליהם.

לגבי הרשת, Qrator ממליצה על הגנה מפני התקפות מניעת שירות הן בשכבת היישום והן בשכבת הרשת — אשר, בהינתן שתעבורת ה-drain לעולם אינה עוברת דרך היישום, היא הגנה מפני שבע עשרה השיטות האחרות ולא מפני ה-drain.

מה שהתיעוד מבסס, ומה שהוא אינו מבסס

הארכיון רושם את x47.c כתקרית שהתרחשה בפועל וקשורה ל-AI, בחומרה בינונית, עם דירוג מהימנות A, ללא מחלוקת שנרשמה, עם מעורבות AI מאושרת וללא נזק ממשי שנרשם. שדות אלה עקביים זה עם זה כאשר מביאים בחשבון את מקור המידע. דירוג מהימנות מתאר עד כמה טענה מתועדת היטב, ולא אם הדבר המתואר קרה למישהו: כאן התיעוד חזק משום שמעבדת מחקר, שני פרסומים מקצועיים ו-CERT לאומי מתארים כולם את אותה פרסומת באותם מונחים. אין בשרשרת הזו שום דבר שמראה בוט בשטח.

מה שמוכח: המוצר קיים כפרסומת, עם מחירון מתוארך, פאנל מתועד, ושתי תכונות בינה מלאכותית שהתנהגותן מתוארת בהודעות הסטטוס של המוכר עצמו. מה שלא מוכח: קורבן אחד, הדבקה אחת, דולר אחד של קרדיט שנוקז, או כל אישור שפקודת הניקוז הורצה נגד חשבון חי. הדוח אינו טוען אחרת, ולמוכרי ערכות כאלה יש סיבה ברורה להפריז במה שהן יכולות לעשות.

הנקודה העמידה יותר קטנה מהכותרת. התקפת denial-of-wallet אינה זקוקה לרשת בוטנטים, למודל או לניצול פגיעות חדש; היא זקוקה למפתח API וללולאה. מה ש-x47.c מוסיף הוא האריזה — הניקוז נמכר לצד שמונה עשרה שיטות הצפה באותו פאנל, ומיועד לאותו קונה. האריזה הזו היא מה שהופך מטרד שניתן לתסרוק לסעיף תקציבי, וזה החלק בדוח הזה שיישאר נכון לאחר שהטענות הספציפיותเกี่ยวกับ Grok ייבחנו או יישכחו.

x47.c: בוטנט Windows למכירה שמרוקן קרדיט AI ושואל את Grok איך להסתתר

מה Qrator פרסם, ומה שהוא לא הבחין בו

ניקוז ה-API של ה-AI: מתקפה שמשאירה את האתר עומד על תילו

AI Stealth: בוחר, לא מפקד

שאר הערכה, והיכן שטענות המוכר עולות על הראיות

מה שהחוקרים אמרו למגנים לעשות

מה שהתיעוד מבסס, ומה שהוא אינו מבסס

מוצר

משאבים

לספקים

הצטרפו לקהילה שלנו

מהבלוג

ספקי מודלים