x47.c: een Windows-botnet te koop dat AI-credits leegtrekt en Grok vraagt hoe het zich kan verbergen

Op 23 september 2026 publiceerde Qrator Research Labs een analyse van x47.c, een Windows-botnet dat wordt verkocht door een dreigingsactor die zichzelf WraithTools noemt, en waarvan het commandopaneel adverteert met achttien denial-of-service-methoden, diefstal van inloggegevens, SOCKS5-relaying en twee op AI gebouwde functies. Een daarvan, "AI API drain", gebruikt een geldige OpenAI-, xAI- of compatibele API-sleutel en besteedt het tegoed van het slachtoffer rechtstreeks bij de provider, terwijl de eigen website van het slachtoffer online blijft. De andere, "AI Stealth", vraagt Grok van xAI welke van een vaste reeks persistentie- en verbergingsacties op een geïnfecteerde host moeten worden toegepast. Het onderzoek is gebaseerd op de advertentie, documentatie en paneelschermafbeeldingen van de verkoper, niet op een waargenomen implementatie: er komt geen slachtoffer, infectieaantal of verliescijfer in voor. Dit verslag is gebaseerd op één record in het Orca AI Incident Archive, dat x47.c registreert als een incident van gemiddelde ernst, getagd als een wapen en een geval van diefstal van inloggegevens, AI-betrokkenheid als bevestigd markeert en geen schade in de echte wereld registreert.

Wat Qrator publiceerde, en wat het niet waarnam

Qrator Research Labs is het onderzoeksteam van een leverancier van netwerkbeveiliging, en het verslag ervan is het enige primaire document dat ten grondslag ligt aan elke beschrijving van x47.c. Infosecurity Magazine, dat op 23 september over het rapport berichtte, stelt dat de bevindingen zijn ontleend aan de advertentie van de verkoper, technische documentatie, schermafbeeldingen van panelen en vervolgberichten. SecurityWeek volgde op 26 september en beschrijft dezelfde basis. Geen van beide publicaties meldt een infectie, een bij naam te noemen slachtoffer, een verkeerssample of een teruggevonden sample die in een lab is geanalyseerd.

De advertentie zelf is gedateerd op 3 augustus. Volgens SecurityWeek bood de verkoper het basispakket aan voor $200 en vroeg hij $150 voor de denial-of-service-add-on, terwijl het volledige x47.c-pakket $950 kostte. Infosecurity Magazine beschrijft het bereik als $200 tot $950, waarbij het hoogste pakket credentialdiefstal, proxying en AI-ondersteunde persistentie toevoegt.

De meest bruikbare onafhankelijke controle van de beweringen kwam van het nationale computer-emergencyresponsteam van Thailand, niet van een andere beveiligingsleverancier. ThaiCERT publiceerde op 28 september 2026 een Engelstalig advies waarin stond dat "veel van deze mogelijkheden zijn gebaseerd op documentatie en beweringen die door de verkoper zijn gepubliceerd, en dat de doeltreffendheid ervan bij aanvallen in de praktijk nog niet volledig is geverifieerd." Dat advies is echter geen onafhankelijke test, en het beweert dat ook niet te zijn: de eigen bronvermelding verwijst naar het artikel van SecurityWeek. Het is een nationale CERT die een leveranciersrapport herhaalt — een betekenisvol signaal dat het rapport is gelezen en serieus is genomen, maar geen bewijs dat iemand de malware heeft gereproduceerd.

Eén beperking moet hier worden vastgelegd. Qrators eigen pagina kon op 26 oktober 2026 niet vanaf deze machine worden opgehaald; de host antwoordde met een autorisatie-uitdaging in plaats van het artikel. Elke directe citatie van Qrator in dit stuk is daarom weergegeven zoals SecurityWeek en Infosecurity Magazine die hebben afgedrukt, en moet ook zo worden gelezen.

De AI-API-uitputting: een aanval waarbij de site overeind blijft

In het denial-of-service-tabblad van het paneel bevindt zich, naast de conventionele flood-methoden, de functie die de aandacht heeft getrokken. SecurityWeek beschrijft dat de operator een modelnaam en een geldige API-sleutel voor het doelaccount opgeeft bij OpenAI, xAI of een compatibele chat-API, waarna de bot factureerbare verzoeken verstuurt. Infosecurity Magazine beschrijft hetzelfde commando als het aannemen van een geldige API-sleutel en het rechtstreeks naar de provider sturen van herhaalde factureerbare verzoeken.

Het mechanisme is de moeite waard om te volgen, want het is de reden dat de aanval moeilijk af te weren is met een webfirewall. Qrators uitleg, zoals SecurityWeek die citeert: "Omdat die verzoeken rechtstreeks naar de provider gaan, hoeven ze niet door de applicatie van het slachtoffer te gaan. De website kan bereikbaar blijven terwijl het account achter de AI-functies ervan door zijn tegoed heen raakt." Infosecurity Magazine voegt Qrators punt toe dat het filteren van verkeer op de website hen niet zal stoppen, en merkt op dat OWASP deze vorm van aanvallen denial of wallet noemt.

Qrator beschreef zowel het verkooppraatje als de techniek. Infosecurity Magazine meldt dat de verkoper de methode op de markt bracht voor gebruik tegen chatbots, met AI verbonden contentmanagementsystemen, handelsbots en scanners, onder meer als dienst om tegen concurrenten in te zetten, en wees op automatische opwaarderingen als manier om kosten te laten doorlopen zodra een saldo op is. Hoeveel de aanval het slachtoffer kost, hangt af van hoeveel extra uitgaven het account toestaat.

Twee voorbehouden houden dit in perspectief, en beide zijn afkomstig van Qrator. Het eerste is dat het botnet niet strikt noodzakelijk is: iedereen met een geldige sleutel zou dezelfde aanval kunnen scripten. Het tweede is dat niet is aangetoond dat de drain-functie en de credential stealer met elkaar zijn verbonden. De stealer noemt AI-site-tokens onder zijn doelwitten, maar Infosecurity Magazine meldt dat de documentatie niet laat zien dat die tokens worden omgezet in API-sleutels voor het drain-commando. De twee mogelijkheden staan naast elkaar in één product; de keten van gestolen token naar geleegd account is niet gedocumenteerd.

AI Stealth: een kiezer, geen commandant

De tweede AI-functie is degene die de krantenkoppen vooraan noemen, en het is de bescheidenere van de twee. Qrators beschrijving, geciteerd door SecurityWeek: "De operator maakt die aanroepen mogelijk door een xAI-sleutel in de build op te nemen. De meegeleverde statusberichten melden opstartwijzigingen, herstel van persistentie en Windows Defender-uitsluitingen. Ze tonen ook lokale fallback-acties wanneer een modelaanroep mislukt, zodat onderhoud aan de host kan doorgaan zonder een geslaagde AI-respons."

Infosecurity Magazine verwoordt het onomwonden: de module gebruikt xAI's Grok om de geïnfecteerde host te beoordelen en te kiezen uit vooraf gedefinieerde persistentie- en verbergingsacties. SecurityWeek voegt daaraan toe dat die acties opstartitems en geplande taken omvatten, en dat optionele mogelijkheden voor process hollowing en privilege-escalatie ook beschikbaar zijn.

Samen gelezen beschrijven die details een model dat als selector wordt gebruikt. Het menu wordt geschreven door de auteur van de malware; Grok kiest daaruit, met behulp van wat het over de host kan waarnemen. Het terugvalpad is belangrijker dan de modelaanroep: een operator die de toegang tot de API verliest, of wiens sleutel wordt ingetrokken, heeft nog steeds een bot die zichzelf in stand houdt. Het blokkeren van de aanroep verslechtert de functie en schakelt de malware niet uit.

Dat is het onderscheid dat het archief maakt tussen x47.c en een naburige vermelding van 22 september 2026, ClosedQuorum, waarin een taalmodelpanel wordt beschreven als het command-and-control-brein zelf. In x47.c zit het model in een optionele module, die zijdelings actieselectie en het aftappen van credits uitvoert. De AI-rol is bevestigd en is ondersteunend, niet structureel — wat ook de reden is dat het record een medium ernstniveau draagt in plaats van een hoger niveau.

De rest van de kit, en waar de beweringen van de verkoper het bewijs te boven gaan

De AI-functies zijn twee rijen in een langere prijslijst, en de conventionele mogelijkheden vormen het grootste deel van het product. SecurityWeek meldt dat het denial-of-service-tabblad van het paneel achttien aanvalsmethoden blootlegt: HTTP-floods, AI-API-draining, slow HTTP, TCP- en UDP-floods, een TLS-stresser en diverse reflectie- en amplificatietechnieken.

Daaromheen zitten de onderdelen die er een botnet van maken in plaats van een aanvalscript. SecurityWeek meldt dat de stealer browserwachtwoorden en -cookies, Discord-tokens, walletgegevens en tokens van AI-sites verzamelt, en een SOCKS5-module die verkeer via geïnfecteerde machines doorstuurt, waarbij de operator meerdere proxyverbindingen kan monitoren en hun gezondheidsstatus en time-outs kan controleren. De fast-flux-configuratie van de verkoper biedt zes domeinen en acht IP-adressen in het beheertabblad, samen met opties voor voorkeurshostnamen en -IP's voor afzonderlijke hosts — hoewel, zoals Infosecurity Magazine opmerkt, verschillende van die domeinen naar één enkele server kunnen wijzen.

De operator kan ook software op een host downloaden, bijwerken en verwijderen, en de verkoper promoot een rootkitmodule om rivaliserende artefacten te verwijderen van machines die hij heeft overgenomen. Dat laatste punt is net zo goed een zakelijk als een technisch detail: een botnet dat wordt verkocht met een hulpmiddel om concurrenten te verdrijven, is een product dat zijn geïnstalleerde basis verdedigt.

Niet alles houdt stand. Infosecurity Magazine meldt dat Qrator geen testresultaten heeft gevonden die de geadverteerde modi voor het omzeilen van bescherming ondersteunen. De claims van de verkoper en het bewijs van de verkoper zijn niet hetzelfde, en het rapport zegt dat waar het kan.

Wat de onderzoekers verdedigers adviseerden te doen

Er is geen patch in dit verhaal, omdat er geen kwetsbaarheid valt te patchen. x47.c is malware die van hosts moet worden verwijderd, en het verdedigingsadvies splitst zich langs die lijn.

Voor de AI-accounts meldt Infosecurity Magazine de aanbevelingen van Qrator: trek blootgestelde AI-sleutels in, controleer de facturering aan de hand van legitiem gebruik en stel bestedingslimieten en controles in voor automatische opwaarderingen. Dat laatste punt is het belangrijkste voor de drain-functie, omdat het verkooppraatje van de verkoper erop berust dat opwaarderingen ervoor zorgen dat er kosten blijven oplopen nadat een saldo uitgeput is.

Voor de eindpunten raadt Qrator aan om geïnfecteerde machines op te schonen. Het advies van ThaiCERT voegt een monitoringslijst toe die direct aansluit bij wat de AI Stealth-module naar eigen zeggen doet: ongeautoriseerde opstartitems, geplande taken en wijzigingen aan Windows Defender-uitsluitingen. Een organisatie die op die drie zaken let, let op de plaatsen waar de module volgens eigen zeggen schrijft.

Voor het netwerk raadt Qrator denial-of-servicebescherming aan op zowel de applicatie- als de netwerklaag — wat, aangezien het drainverkeer nooit de applicatie passeert, bescherming is tegen de andere zeventien methoden en niet tegen de drain.

Wat het dossier vaststelt, en wat niet.

Het archief voert x47.c op als een daadwerkelijk plaatsgevonden AI-gerelateerd incident van gemiddelde ernst, met betrouwbaarheidsgraad A, geen geregistreerde betwisting, bevestigde AI-betrokkenheid en geen geregistreerde daadwerkelijke schade. Die velden zijn met elkaar consistent zodra de herkomst in het oog wordt gehouden. Een betrouwbaarheidsgraad beschrijft hoe goed een bewering is gedocumenteerd, niet of het beschrevene iemand is overkomen: hier is de documentatie sterk omdat een onderzoekslab, twee branchepublicaties en een nationaal CERT allemaal dezelfde advertentie in dezelfde bewoordingen beschrijven. Niets in die keten toont een bot in het veld.

Wat vaststaat: het product bestaat als advertentie, met een gedateerde prijslijst, een gedocumenteerd paneel en twee AI-functies waarvan het gedrag wordt beschreven in de eigen statusberichten van de verkoper. Wat niet vaststaat: één enkel slachtoffer, één enkele infectie, één enkele dollar aan leeggetrokken tegoed, of enige bevestiging dat het drain-commando tegen een live account is uitgevoerd. Het rapport beweert niet anders, en verkopers van dergelijke kits hebben een duidelijke reden om te overdrijven wat ze kunnen.

Het duurzamere punt is kleiner dan de kop. Een denial-of-wallet-aanval heeft geen botnet, een model of een nieuwe exploit nodig; hij heeft een API-sleutel en een loop nodig. Wat x47.c toevoegt, is verpakking — de drain die naast achttien floodmethoden op hetzelfde paneel wordt verkocht, gericht op dezelfde koper. Die verpakking is wat van een scriptbare ergernis een kostenpost maakt, en het is het deel van dit rapport dat nog steeds waar zal zijn nadat de specifieke beweringen over Grok zijn getest of vergeten.