x47.c: AIクレジットを搾取し、隠れ方をGrokに尋ねる、販売中のWindowsボットネット

2026年9月23日、Qrator Research Labsは分析を公開した。対象はx47.cで、Windowsボットネットである。これは自らをWraithToolsと名乗る脅威アクターが販売しており、そのコマンドパネルは18種類のサービス拒否手法、資格情報窃取、SOCKS5リレー、およびAIを基盤とする2つの機能を宣伝している。一方は「AI API drain」で、有効なOpenAI、xAIまたは互換APIキーを使用し、被害者自身のウェブサイトはオンラインのまま、プロバイダーで被害者のクレジットを直接消費する。もう一方は「AI Stealth」で、xAIのGrokに、感染したホストに適用すべき固定された一連の永続化・隠蔽アクションのうちどれを選ぶかを尋ねる。この調査は、実際に観測された配備ではなく、販売者の広告、ドキュメント、パネルのスクリーンショットから得られている。被害者、感染数、損失額は一切記載されていない。本稿は単一の記録に基づいている。その記録はOrca AI Incident Archiveに収められている。同アーカイブはx47.cを、武器および資格情報窃取事案としてタグ付けされた中程度の重大度のインシデントとして分類し、AIの関与を確認済みとし、現実世界での被害は記録していない。

Qratorが公開したこと、そして観測しなかったこと

Qrator Research Labsはネットワークセキュリティベンダーの研究チームであり、その報告書はx47.cに関するあらゆる説明の根拠となる唯一の一次資料である。9月23日にこの報告を報じたInfosecurity Magazineは、調査結果が販売者の広告、技術文書、パネルのスクリーンショット、およびフォローアップメッセージから得られたものだと述べている。SecurityWeekの記事は9月26日に続き、同じ根拠を説明している。どちらの報道機関も、感染、名前を特定できる被害者、通信サンプル、またはラボで分析された回収サンプルについては報じていない。

広告自体の日付は8月3日です。SecurityWeekによると、販売者は基本パッケージを200ドルで提供し、サービス妨害アドオンに150ドルを求め、x47.cパッケージ全体を950ドルで価格設定していました。Infosecurity Magazineはその価格帯を200ドルから950ドルと説明しており、最上位パッケージには認証情報窃取、プロキシ、AI支援による永続化が追加されます。

これらの主張に対する最も有用な独立した検証は、別のセキュリティベンダーではなく、タイの国家コンピューター緊急対応チームからもたらされた。ThaiCERTは2026年9月28日に英語の勧告を公開し、次のように述べた。「これらの機能の多くは販売者が公開した文書と主張に基づいており、実際の攻撃における有効性はまだ十分に検証されていない。」ただし、この勧告は独立したテストではなく、独立したテストであるとも主張していない。その出典欄はSecurityWeekの記事を指している。これは国家CERTがベンダー報告書を要約して再掲したものであり、報告書が読まれ真剣に受け止められたことを示す意味のあるシグナルではあるが、誰かがそのマルウェアを再現した証拠ではない。

ここに一つの制約を記録しておく必要がある。2026年10月26日、Qrator自身のページはこのマシンから取得できなかった。ホストは記事ではなく認証チャレンジを返した。したがって、本記事におけるQratorからの直接引用はすべて、SecurityWeekとInfosecurity Magazineが掲載したとおりに再現しており、そのように読まれるべきである。

AI APIの枯渇：サイトを稼働させたままにする攻撃

パネルのDoSタブには、従来のフラッド手法と並んで、注目を集めている機能がある。SecurityWeekは、操作者がOpenAI、xAI、または互換性のあるチャットAPI上の標的アカウントのモデル名と有効なAPIキーを提供すると、その後ボットが課金対象のリクエストを送信すると説明している。Infosecurity Magazineは、同じコマンドを、有効なAPIキーを受け取り、課金対象のリクエストをプロバイダーに直接繰り返し送信するものと説明している。

この仕組みは注目に値する。なぜなら、これがこの攻撃にウェブファイアウォールで対処するのが難しい理由だからだ。SecurityWeek が引用している Qrator の説明は次のとおり：「これらのリクエストはプロバイダーへ直接送られるため、被害者のアプリケーションを通る必要がない。ウェブサイトは引き続きアクセス可能なまま、その AI 機能の基盤となるアカウントのクレジットが枯渇し得る。」 Infosecurity Magazine は、ウェブサイトでトラフィックをフィルタリングしてもそれらを止められないという Qrator の指摘を加え、OWASP がこの種の攻撃を「denial of wallet」と呼んでいることにも言及している。

Qratorはその売り込み文句と手法について説明した。Infosecurity Magazineによると、販売者はこの手法をチャットボット、AI連携型のコンテンツ管理システム、取引ボット、スキャナーに対して売り込み、競合他社に対して使うためのサービスとしても提供し、残高が尽きた後も課金が発生し続けるようにする手段として自動トップアップを挙げた。攻撃が被害者にいくらの負担を強いるかは、アカウントが許容する追加支出の額によって決まる。

この見方を適正な範囲にとどめる留保が二つあり、いずれもQratorによるものだ。第一は、ボットネットが厳密には必要ではないことだ。有効な鍵を持っていれば誰でも同じ攻撃をスクリプト化できる。第二は、drain機能と資格情報窃取機能が連携していることは示されていない点だ。窃取ツールは標的の一つとしてAIサイトのトークンを挙げているが、Infosecurity Magazineは、そのトークンがdrainコマンド用のAPIキーに変換されることを文書が示していないと報じている。二つの機能は一つの製品内に並んで存在するが、盗まれたトークンからアカウントの資金吸い上げに至る連鎖は文書化されていない。

AI Stealth：命令する者ではなく、選ぶ者

2つ目のAI機能は、見出しが真っ先に取り上げるものですが、2つの中ではより控えめな方です。SecurityWeekが引用したQratorの説明は次のとおりです：「オペレーターは、ビルドにxAIキーを含めることでこれらの呼び出しを可能にします。提供されるステータスメッセージは、起動時の変更、永続性の修復、Windows Defenderの除外を報告します。また、モデル呼び出しが失敗した際のローカルフォールバック動作も示し、AI応答が成功しなくてもホストのメンテナンスを継続できるようにします。」

Infosecurity Magazineはその役割を端的に述べている。このモジュールはxAIのGrokを使用して感染したホストを評価し、事前定義された永続化および隠蔽アクションから選択する。SecurityWeekは、これらのアクションにはスタートアップエントリやスケジュールされたタスクが含まれ、さらにオプションでプロセスホロウイングや特権昇格の機能も利用可能であると付け加えている。

合わせて読むと、これらの詳細はセレクターとして使われるモデルを描写している。メニューはマルウェアの作者によって書かれており、Grokはホストについて観察できるあらゆる情報を使ってそこから選ぶ。フォールバック経路はモデル呼び出しよりも重要だ。APIへのアクセスを失った、あるいはキーが失効した運用者でも、自己を維持するボットを依然として持っている。呼び出しをブロックしても機能が低下するだけで、マルウェアを無効化するわけではない。

それが、アーカイブが x47.c と、2026年9月22日付の隣接する項目 ClosedQuorum との間に引いている区別です。ClosedQuorum では、言語モデルのパネルが指揮統制の中枢そのものとして記述されています。x47.c では、モデルはオプションのモジュール内に位置し、副次的に行動選択とクレジットの吸い上げを行っています。AI の役割は確認されており、それは構造的ではなく支援的です。そのためこの記録の重大度は、より高いものではなく中程度となっています。

キットの残りの部分、そして売り手の主張が証拠を上回っている点

AI機能は長い価格表の中の2行にすぎず、製品の大部分は従来型の機能で構成されている。SecurityWeekによると、このパネルのDoSタブでは18種類の攻撃手法が公開されている。HTTPフラッド、AI APIの枯渇、スロウHTTP、TCPおよびUDPフラッド、TLSストレッサー、さらには各種のリフレクション・増幅技法などである。

その周囲には、それを攻撃スクリプトではなくボットネットにしている要素が存在する。SecurityWeekによると、この窃取ツールはブラウザのパスワードとCookie、Discordトークン、ウォレットデータ、AIサイトのトークンを収集し、感染したマシン経由でトラフィックを中継するSOCKS5モジュールを備えている。運用者は複数のプロキシ接続を監視し、その健全性状態とタイムアウトを確認できる。販売者のfast-flux設定では、管理タブに6つのドメインと8つのIPアドレスが用意され、個々のホスト向けに優先ホスト名とIPのオプションも指定できる——ただし、Infosecurity Magazineが指摘するように、それらのドメインのいくつかは単一のサーバーを指す可能性がある。

オペレーターはホスト上のソフトウェアをダウンロードし、更新し、削除することもでき、販売者は、自らが掌握したマシンから競合のアーティファクトを除去するためのルートキットモジュールを宣伝している。最後の項目は、技術的な詳細であると同時にビジネス上の詳細でもある。競合を排除するためのツールとともに販売されるボットネットは、自らのインストール済み基盤を守る製品なのだ。

すべてが成り立つわけではない。Infosecurity Magazineは、Qratorが宣伝されている保護バイパスモードを裏付ける試験結果を何も見つけなかったと報じている。売り手の主張と売り手の証拠は同じものではなく、報道は可能な範囲でそう述べている。

研究者が防御側に何をするよう指示したか

この話にはパッチが存在しません。なぜなら、パッチを当てるべき脆弱性が存在しないからです。x47.c はホストから削除しなければならないマルウェアであり、防御側の助言もその線引きに沿って分かれます。

AIアカウントについては、Infosecurity MagazineがQratorの推奨事項を報じている。露出したAIキーを無効化し、請求を正当な利用状況と照合し、自動トップアップに支出上限と制御を設定することだ。最後の項目はdrain機能にとって最も重要である。なぜなら、売り手自身の売り込みは、残高が尽きた後も請求が発生し続けるようにトップアップが機能することに依存しているからだ。

エンドポイントについては、Qratorは感染したマシンのクリーンアップを推奨している。ThaiCERTの勧告は、AI Stealthモジュールが実行していると報告している内容に直接対応する監視リストを追加している。それは、許可されていないスタートアップ項目、スケジュールされたタスク、Windows Defenderの除外設定への変更である。これら3つを監視する組織は、同モジュールが書き込むとしている場所を監視していることになる。

ネットワークに関しては、Qratorはアプリケーション層とネットワーク層の両方でサービス拒否攻撃からの保護を推奨しています。これは、ドレインのトラフィックがアプリケーションを通過しないことを踏まえると、ドレインに対する保護ではなく、他の17種類の手法に対する保護です。

記録が何を立証し、何を立証していないか

アーカイブは、x47.c を中程度の深刻度で実際に発生したAI関連インシデントとして分類しており、信頼度はA、異議は記録されておらず、AIの関与は確認済みで、実際の被害も記録されていない。出所を考慮すれば、これらの項目は互いに整合している。信頼度等級は、ある主張がどれだけ十分に文書化されているかを示すものであり、記述された事象が誰かに実際に起きたかどうかを示すものではない。ここでは、研究機関、業界メディア2社、および国家CERTがすべて同じ広告を同じ表現で説明しているため、文書化は強固である。その連鎖の中に、現場でボットが確認されたことを示すものは何もない。

確認されていること：この製品は広告として存在し、日付入りの価格表、文書化されたパネル、および動作が販売者自身のステータスメッセージで説明されている2つのAI機能を備えている。確認されていないこと：被害者1人、感染1件、引き出された残高1ドル分、あるいはライブアカウントに対してドレインコマンドが実行されたという確認のいずれもない。報告書はそう主張しておらず、こうしたキットの販売者には、自分たちにできることを誇張する明らかな理由がある。

より長持ちする論点は、見出しよりも地味だ。Denial-of-wallet攻撃にはボットネットもモデルも新種のエクスプロイトも要らない。必要なのはAPIキーとループだけだ。x47.cが付け加えているのはパッケージングだ――同じパネル上で18種のフラッド手法の隣に並べて売られる吸い上げ機能であり、同じ買い手を狙っている。そのパッケージングこそが、スクリプト化可能な厄介事を予算の一行項目に変えるものであり、Grokに関する個別の主張が検証されようと忘れ去られようと、この報告書の中で依然として正しいままであり続ける部分なのだ。