x47.c: una botnet Windows in vendita che prosciuga crediti AI e chiede a Grok come nascondersi

Il 23 settembre 2026, Qrator Research Labs ha pubblicato un'analisi di x47.c, una botnet Windows venduta da un attore di minaccia che si fa chiamare WraithTools, il cui pannello di comando pubblicizza diciotto metodi denial-of-service, furto di credenziali, relay SOCKS5 e due funzionalità basate sull'IA. Una, "AI API drain", prende una chiave API valida di OpenAI, xAI o compatibile e spende direttamente il credito della vittima presso il fornitore mentre il sito web della vittima stessa resta online. L'altra, "AI Stealth", chiede a Grok di xAI quale tra un insieme fisso di azioni di persistenza e occultamento applicare a un host infetto. La ricerca è tratta dall'annuncio, dalla documentazione e dagli screenshot del pannello del venditore anziché da una distribuzione osservata: non vi compaiono vittime, conteggi delle infezioni né cifre delle perdite. Questo resoconto è tratto da un singolo record in l'Orca AI Incident Archive, che classifica x47.c come incidente di gravità media, etichettato come arma e caso di furto di credenziali, contrassegna il coinvolgimento dell'IA come confermato e non registra alcun danno nel mondo reale.

Ciò che Qrator ha pubblicato e ciò che non ha osservato

Qrator Research Labs è un team di ricerca di un fornitore di sicurezza di rete, e il suo resoconto è l'unico documento primario alla base di ogni ricostruzione di x47.c. Infosecurity Magazine, che ha trattato il rapporto il 23 settembre, afferma che le conclusioni sono tratte dall'annuncio del venditore, dalla documentazione tecnica, dagli screenshot dei pannelli e dai messaggi successivi. Il resoconto di SecurityWeek è seguito il 26 settembre e descrive la stessa base. Nessuna delle due testate riporta un'infezione, una vittima identificabile, un campione di traffico o un campione recuperato e analizzato in laboratorio.

L'annuncio stesso è datato 3 agosto. Secondo SecurityWeek, il venditore offriva il pacchetto base a 200 dollari e chiedeva 150 dollari per l'add-on di denial-of-service, con l'intero pacchetto x47.c prezzato a 950 dollari. Infosecurity Magazine descrive l'intervallo come da 200 a 950 dollari, con il pacchetto top che aggiunge furto di credenziali, proxying e persistenza assistita dall'IA.

Il controllo indipendente più utile sulle affermazioni è venuto dal team nazionale thailandese di risposta alle emergenze informatiche, piuttosto che da un altro fornitore di sicurezza. ThaiCERT ha pubblicato un avviso in inglese il 28 settembre 2026 in cui affermava che "molte di queste capacità si basano su documentazione e affermazioni pubblicate dal venditore, e la loro efficacia in attacchi nel mondo reale non è ancora stata pienamente verificata." Quell'avviso, tuttavia, non è un test indipendente, e non pretende di esserlo: la sua stessa fonte indicata rimanda all'articolo di SecurityWeek. È un CERT nazionale che ribadisce un rapporto di un fornitore, il che è un segnale significativo del fatto che il rapporto è stato letto e preso sul serio, e non una prova che qualcuno abbia riprodotto il malware.

Va segnalata qui una limitazione. Il 26 ottobre 2026 non è stato possibile recuperare da questa macchina la pagina di Qrator; l'host ha risposto con una richiesta di autorizzazione anziché con l'articolo. Ogni citazione diretta di Qrator in questo pezzo è pertanto riprodotta così come l'hanno pubblicata SecurityWeek e Infosecurity Magazine, e va letta in tal senso.

Il prosciugamento delle API AI: un attacco che lascia il sito in piedi

Nella scheda denial-of-service del pannello, accanto ai metodi flood convenzionali, c'è la funzionalità che ha attirato l'attenzione. SecurityWeek descrive l'operatore che fornisce un nome di modello e una chiave API valida per l'account preso di mira su OpenAI, xAI o su un'API chat compatibile, dopodiché il bot invia richieste che sono fatturabili. Infosecurity Magazine descrive lo stesso comando come l'azione di prendere una chiave API valida e inviare richieste fatturabili ripetute direttamente al provider.

Vale la pena seguire il meccanismo, perché è il motivo per cui è difficile rispondere all'attacco con un firewall web. La spiegazione di Qrator, come la cita SecurityWeek: "Poiché quelle richieste vanno direttamente al provider, non devono passare attraverso l'applicazione della vittima. Il sito web può rimanere raggiungibile mentre l'account dietro le sue funzionalità di IA esaurisce i crediti." Infosecurity Magazine aggiunge l'osservazione di Qrator secondo cui filtrare il traffico sul sito web non li fermerà, e nota che OWASP definisce questa classe di attacco denial of wallet.

Qrator ha descritto sia la proposta commerciale sia la tecnica. Infosecurity Magazine riferisce che il venditore promuoveva il metodo contro chatbot, sistemi di gestione dei contenuti connessi all'IA, bot di trading e scanner, anche come servizio da usare contro i concorrenti, e indicava le ricariche automatiche come modo per continuare ad accumulare addebiti una volta esaurito il saldo. Quanto l'attacco costa alla vittima dipende da quanta spesa aggiuntiva consente l'account.

Due precisazioni mantengono la cosa nelle giuste proporzioni, ed entrambe provengono da Qrator. La prima è che la botnet non è strettamente necessaria: chiunque possieda una chiave valida potrebbe automatizzare lo stesso attacco. La seconda è che non è dimostrato che la funzionalità di drain e il credential stealer siano collegati tra loro. Il credential stealer elenca i token dei siti AI tra i suoi obiettivi, ma Infosecurity Magazine riporta che la documentazione non mostra quei token trasformati in chiavi API per il comando di drain. Le due capacità coesistono nello stesso prodotto; la catena dal token rubato all’account svuotato non è documentata.

AI Stealth: chi sceglie, non chi comanda

La seconda funzionalità di IA è quella su cui puntano i titoli, ed è la più modesta delle due. La descrizione di Qrator, citata da SecurityWeek: "L'operatore abilita tali chiamate includendo una chiave xAI nella build. I messaggi di stato forniti riportano modifiche all'avvio, riparazione della persistenza ed esclusioni di Windows Defender. Mostrano anche azioni di fallback locali quando una chiamata al modello fallisce, consentendo alla manutenzione dell'host di proseguire senza una risposta dell'IA andata a buon fine."

{{1}}Infosecurity Magazine lo dice chiaramente: il modulo usa Grok di xAI per analizzare l'host infetto e scegliere tra azioni predefinite di persistenza e occultamento.{{/1}} {{2}}SecurityWeek aggiunge che tali azioni includono voci di avvio e attività pianificate e che sono inoltre disponibili capacità opzionali di process hollowing e di escalation dei privilegi.{{/2}}

Letti insieme, quei dettagli descrivono un modello usato come selettore. Il menu è scritto dall'autore del malware; Grok sceglie da esso, usando tutto ciò che riesce a osservare sull'host. Il percorso di fallback conta più della chiamata al modello: un operatore che perde l'accesso all'API, o la cui chiave viene revocata, ha comunque un bot che si mantiene da solo. Bloccare la chiamata degrada la funzionalità e non disabilita il malware.

Questa è la distinzione che l’archivio traccia tra x47.c e una voce vicina del 22 settembre 2026, ClosedQuorum, in cui un panel di modelli linguistici è descritto come il cervello di comando e controllo stesso. In x47.c il modello risiede in un modulo opzionale, svolgendo ai margini la selezione delle azioni e il drenaggio dei crediti. Il ruolo dell’IA è confermato ed è di supporto, non strutturale — ed è anche il motivo per cui il record riporta una gravità media anziché una più elevata.

Il resto del kit, e dove le dichiarazioni del venditore vanno oltre le prove

Le funzionalità AI sono due righe in un listino prezzi più lungo, e le capacità convenzionali costituiscono la maggior parte del prodotto. SecurityWeek riferisce che la scheda denial-of-service del pannello espone diciotto metodi di attacco: flood HTTP, drenaggio delle API AI, slow HTTP, flood TCP e UDP, uno stresser TLS e varie tecniche di riflessione e amplificazione.

Attorno a questo si trovano le parti che ne fanno una botnet anziché uno script di attacco. SecurityWeek riporta che lo stealer raccoglie password e cookie dei browser, token di Discord, dati dei wallet e token di siti AI, e un modulo SOCKS5 che inoltra il traffico attraverso le macchine infette, con l'operatore in grado di monitorare più connessioni proxy e verificarne lo stato di salute e i timeout. La configurazione fast-flux del venditore offre sei domini e otto indirizzi IP nella scheda di gestione, insieme a opzioni per hostname e IP preferiti per singoli host — tuttavia, come osserva Infosecurity Magazine, diversi di quei domini possono puntare a un unico server.

L'operatore può anche scaricare, aggiornare e rimuovere software su un host, e il venditore promuove un modulo rootkit per rimuovere artefatti rivali dalle macchine di cui ha preso il controllo. Quest'ultimo elemento è un dettaglio commerciale tanto quanto tecnico: una botnet venduta con uno strumento per espellere i concorrenti è un prodotto che difende la propria base installata.

Non tutto regge. {{1}}Infosecurity Magazine{{/1}} riferisce che {{2}}Qrator{{/2}} non ha trovato risultati di test che supportino le modalità di bypass della protezione pubblicizzate. Le affermazioni del venditore e le prove del venditore non sono la stessa cosa, e il rapporto lo dice dove può.

Cosa i ricercatori hanno detto ai difensori di fare

Non c'è alcuna patch in questa storia, perché non c'è alcuna vulnerabilità da correggere. x47.c è malware che deve essere rimosso dagli host, e i consigli difensivi si dividono lungo questa linea.

Per gli account AI, Infosecurity Magazine riporta le raccomandazioni di Qrator: revocare le chiavi AI esposte, verificare la fatturazione rispetto all'utilizzo legittimo e impostare limiti di spesa e controlli sui ricarichi automatici. Quest'ultimo punto è quello che conta di più per la funzionalità di drenaggio, poiché la proposta commerciale del venditore stesso dipende dai ricarichi che continuano a generare addebiti dopo l'esaurimento del saldo.

Per gli endpoint, Qrator consiglia la pulizia delle macchine infette. L'avviso di ThaiCERT aggiunge un elenco di monitoraggio che corrisponde direttamente a ciò che il modulo AI Stealth dichiara di fare: voci di avvio non autorizzate, attività pianificate e modifiche alle esclusioni di Windows Defender. Un'organizzazione che tiene d'occhio queste tre cose sorveglia proprio i luoghi in cui il modulo dichiara di scrivere.

Per la rete, Qrator consiglia una protezione contro gli attacchi denial-of-service sia a livello applicativo sia a livello di rete — che, dato che il traffico drain non attraversa mai l'applicazione, è una protezione contro gli altri diciassette metodi anziché contro il drain.

Cosa stabilisce il verbale, e cosa non stabilisce

L'archivio classifica x47.c come un incidente realizzato correlato all'IA di gravità media, con affidabilità valutata A, nessuna contestazione registrata, coinvolgimento dell'IA confermato e nessun danno reale registrato. Questi campi sono coerenti tra loro una volta che si tiene conto della provenienza. Un grado di affidabilità descrive quanto bene è documentata un'affermazione, non se la cosa descritta sia accaduta a qualcuno: qui la documentazione è solida perché un laboratorio di ricerca, due testate di settore e un CERT nazionale descrivono tutti lo stesso annuncio negli stessi termini. Niente in quella catena dimostra la presenza di un bot sul campo.

Che cosa è accertato: il prodotto esiste come annuncio pubblicitario, con un listino prezzi datato, un pannello documentato e due funzionalità di intelligenza artificiale il cui comportamento è descritto nei messaggi di stato del venditore stesso. Che cosa non è accertato: una singola vittima, una singola infezione, un solo dollaro di credito prosciugato o qualsiasi conferma che il comando di prosciugamento sia stato eseguito su un account reale. Il rapporto non sostiene il contrario, e i venditori di simili kit hanno un evidente motivo per sopravvalutare ciò che sono in grado di fare.

Il punto destinato a durare è più piccolo del titolo. Un attacco denial-of-wallet non ha bisogno di una botnet, di un modello o di un exploit inedito; ha bisogno di una chiave API e di un ciclo. Ciò che x47.c aggiunge è il packaging: il drain venduto accanto a diciotto metodi flood sullo stesso pannello, rivolto allo stesso acquirente. È quel packaging che trasforma un fastidio scriptabile in una voce di costo, ed è la parte di questo rapporto che resterà vera dopo che le affermazioni specifiche su Grok saranno state verificate o dimenticate.