x47.c: Windowsowy botnet na sprzedaż, który wysysa kredyty AI i pyta Groka, jak się ukryć

W dniu 23 września 2026 r. Qrator Research Labs opublikowało analizę x47.c, botnetu Windows sprzedawanego przez aktora zagrożeń nazywającego się WraithTools, którego panel dowodzenia reklamuje osiemnaście metod ataków typu denial-of-service, kradzież poświadczeń, przekazywanie SOCKS5 i dwie funkcje oparte na AI. Jedna z nich, "AI API drain", pobiera ważny klucz API OpenAI, xAI lub kompatybilnego dostawcy i wydaje środki ofiary bezpośrednio u dostawcy, podczas gdy strona internetowa samej ofiary pozostaje online. Druga, "AI Stealth", pyta Grok od xAI, które z ustalonego zestawu działań służących trwałości i ukryciu zastosować wobec zainfekowanego hosta. Badanie opiera się na ogłoszeniu sprzedawcy, dokumentacji i zrzutach ekranu panelu, a nie na zaobserwowanym wdrożeniu: nie pojawia się w nim żadna ofiara, liczba infekcji ani kwota strat. Ten opis pochodzi z jednego rekordu w the Orca AI Incident Archive, który klasyfikuje x47.c jako incydent o średniej wadze oznaczony jako broń i przypadek kradzieży poświadczeń, oznacza udział AI jako potwierdzony i nie odnotowuje żadnych szkód w świecie rzeczywistym.

Co Qrator opublikował, a czego nie zaobserwował

Qrator Research Labs to zespół badawczy dostawcy rozwiązań bezpieczeństwa sieciowego, a jego raport jest jedynym głównym dokumentem stojącym za każdą relacją o x47.c. Infosecurity Magazine, które omówiło raport 23 września, podaje, że ustalenia pochodzą z ogłoszenia sprzedawcy, dokumentacji technicznej, zrzutów ekranu panelu i wiadomości uzupełniających. Relacja SecurityWeek ukazała się następnie 26 września i opisuje tę samą podstawę. Żadna z redakcji nie donosi o infekcji, możliwej do nazwania ofierze, próbce ruchu ani odzyskanej próbce przeanalizowanej w laboratorium.

Samo ogłoszenie jest datowane na 3 sierpnia. Według SecurityWeek sprzedawca oferował pakiet podstawowy za 200 USD i żądał 150 USD za dodatek do ataków typu denial-of-service, przy czym cały pakiet x47.c wyceniono na 950 USD. Infosecurity Magazine opisuje przedział cenowy od 200 do 950 USD, przy czym najdroższy pakiet dodaje kradzież poświadczeń, proxy oraz utrzymywanie dostępu wspomagane przez AI.

Najbardziej użyteczna niezależna weryfikacja tych twierdzeń pochodziła od tajlandzkiego krajowego zespołu reagowania na incydenty komputerowe, a nie od innego dostawcy rozwiązań bezpieczeństwa. ThaiCERT opublikował 28 września 2026 r. angielskojęzyczny biuletyn doradczy, w którym stwierdzono, że „wiele z tych możliwości opiera się na dokumentacji i twierdzeniach opublikowanych przez sprzedawcę, a ich skuteczność w rzeczywistych atakach nie została jeszcze w pełni zweryfikowana”. Ten biuletyn nie jest jednak niezależnym testem i nie twierdzi, że nim jest: w jego własnej linii źródłowej wskazano artykuł SecurityWeek. Jest to krajowy CERT, który przytacza raport dostawcy, co jest istotnym sygnałem, że raport został przeczytany i potraktowany poważnie, a nie dowodem na to, że ktokolwiek odtworzył złośliwe oprogramowanie.

Jedno ograniczenie należy tu odnotować. Własnej strony Qratora nie udało się pobrać z tego komputera 26 października 2026 r.; host odpowiedział żądaniem autoryzacji zamiast artykułem. Wszystkie bezpośrednie cytaty z Qratora w tym tekście są zatem przytoczone tak, jak wydrukowano je w SecurityWeek i Infosecurity Magazine, i tak też należy je czytać.

Drenaż API AI: atak, po którym strona nadal działa

W zakładce odmowy usługi (denial-of-service) panelu, obok konwencjonalnych metod zalewania, znajduje się funkcja, która przyciągnęła uwagę. SecurityWeek opisuje, że operator podaje nazwę modelu i ważny klucz API dla docelowego konta w OpenAI, xAI lub zgodnym interfejsie API czatu, po czym bot wysyła żądania podlegające rozliczeniu. Infosecurity Magazine opisuje to samo polecenie jako przyjęcie ważnego klucza API i wysyłanie powtarzanych płatnych żądań bezpośrednio do dostawcy.

Mechanizm ten wart jest prześledzenia, ponieważ to właśnie on sprawia, że atak trudno jest odeprzeć za pomocą zapory ogniowej dla aplikacji webowych. Wyjaśnienie Qratora, cytowane przez SecurityWeek: „Ponieważ te żądania trafiają bezpośrednio do dostawcy, nie muszą przechodzić przez aplikację ofiary. Strona internetowa może pozostać dostępna, podczas gdy konto stojące za jej funkcjami AI wyczerpuje kredyty”. Infosecurity Magazine dodaje uwagę Qratora, że filtrowanie ruchu na poziomie strony internetowej ich nie powstrzyma, i zauważa, że OWASP nazywa tę klasę ataków „denial of wallet”.

Qrator opisał zarówno ofertę, jak i samą technikę. Infosecurity Magazine donosi, że sprzedawca reklamował tę metodę jako narzędzie przeciwko chatbotom, systemom zarządzania treścią połączonym z AI, botom handlowym i skanerom, w tym jako usługę do wykorzystania przeciwko konkurencji, oraz wskazywał automatyczne doładowania jako sposób na utrzymanie naliczania opłat po wyczerpaniu salda. To, ile atak kosztuje ofiarę, zależy od tego, jak duże dodatkowe wydatki dopuszcza konto.

Dwa zastrzeżenia pozwalają zachować właściwe proporcje, a oba pochodzą od Qrator. Pierwsze: botnet nie jest ściśle konieczny — każdy, kto ma ważny klucz, mógłby zautomatyzować ten sam atak. Drugie: nie wykazano, aby funkcja drain i narzędzie do wykradania poświadczeń były ze sobą powiązane. Narzędzie do wykradania wymienia tokeny witryn AI wśród swoich celów, ale Infosecurity Magazine donosi, że dokumentacja nie pokazuje, iż tokeny te są zamieniane na klucze API dla polecenia drain. Obie możliwości współistnieją w jednym produkcie; łańcuch od skradzionego tokenu do opróżnionego konta nie jest udokumentowany.

AI Stealth: wybiera, a nie dowodzi

Druga funkcja AI to ta, od której zaczynają się nagłówki, i jest skromniejsza z tych dwóch. Opis Qratora, cytowany przez SecurityWeek: „Operator umożliwia te wywołania, dołączając klucz xAI do kompilacji. Dostarczane komunikaty o stanie raportują zmiany przy uruchamianiu, naprawę mechanizmów utrwalania i wykluczenia Windows Defender. Pokazują także lokalne działania awaryjne, gdy wywołanie modelu się nie powiedzie, co pozwala kontynuować konserwację hosta bez udanej odpowiedzi AI.”

Infosecurity Magazine ujmuje to wprost: moduł wykorzystuje Grok firmy xAI do oceny zainfekowanego hosta i wyboru spośród predefiniowanych działań z zakresu utrzymania trwałości i ukrywania. SecurityWeek dodaje, że działania te obejmują wpisy startowe i zadania zaplanowane oraz że dostępne są również opcjonalne możliwości process hollowing i eskalacji uprawnień.

Odczytane łącznie, te szczegóły opisują model używany jako selektor. Menu jest zapisane przez autora złośliwego oprogramowania; Grok wybiera z niego, wykorzystując wszystko, co może zaobserwować na temat hosta. Ścieżka awaryjna ma większe znaczenie niż wywołanie modelu: operator, który traci dostęp do API lub którego klucz zostaje unieważniony, nadal ma bota, który sam się utrzymuje. Zablokowanie wywołania degraduje funkcję i nie wyłącza złośliwego oprogramowania.

To jest rozróżnienie, które archiwum wprowadza między x47.c a sąsiednim wpisem z 22 września 2026 r., ClosedQuorum, w którym panel modeli językowych jest opisany jako sam mózg dowodzenia i kontroli. W x47.c model znajduje się w opcjonalnym module i dodatkowo wykonuje selekcję działań oraz drenaż kredytów. Rola AI jest potwierdzona i ma charakter pomocniczy, a nie strukturalny — co jest również powodem, dla którego rekord ma średni poziom istotności, a nie wyższy.

Reszta zestawu i miejsca, w których twierdzenia sprzedawcy wybiegają poza dowody

Funkcje AI to dwa wiersze w dłuższym cenniku, a produkt składa się głównie z konwencjonalnych możliwości. SecurityWeek donosi, że zakładka denial-of-service w panelu ujawnia osiemnaście metod ataku: zalewy HTTP, wyczerpywanie AI API, powolne HTTP, zalewy TCP i UDP, stresor TLS oraz różne techniki odbicia i amplifikacji.

Wokół tego znajdują się elementy, które czynią go botnetem, a nie skryptem ataku. SecurityWeek donosi, że stealer pozyskuje hasła i pliki cookie przeglądarek, tokeny Discord, dane portfeli i tokeny witryn AI oraz moduł SOCKS5, który przekazuje ruch przez zainfekowane maszyny, przy czym operator może monitorować wiele połączeń proxy i sprawdzać ich stan oraz limity czasu. Konfiguracja fast-flux sprzedawcy oferuje w swojej zakładce zarządzania sześć domen i osiem adresów IP, a także opcje preferowanej nazwy hosta i adresu IP dla poszczególnych hostów — choć, jak zauważa Infosecurity Magazine, kilka z tych domen może wskazywać na jeden serwer.

Operator może także pobierać, aktualizować i usuwać oprogramowanie na hoście, a sprzedawca promuje moduł rootkita do usuwania artefaktów konkurencji z maszyn, które przejął. Ten ostatni element jest szczegółem biznesowym w takim samym stopniu jak technicznym: botnet sprzedawany z narzędziem do wypierania konkurencji jest produktem broniącym swojej zainstalowanej bazy.

Nie wszystko się potwierdza. Infosecurity Magazine donosi, że Qrator nie znalazł wyników testów potwierdzających reklamowane tryby omijania zabezpieczeń. Twierdzenia sprzedawcy i dowody sprzedawcy to nie to samo, a raport mówi o tym tam, gdzie może.

Co badacze powiedzieli obrońcom, żeby zrobili

W tej historii nie ma żadnej łatki, ponieważ nie ma luki, którą można by załatać. x47.c to złośliwe oprogramowanie, które trzeba usunąć z hostów, a zalecenia dotyczące obrony rozchodzą się właśnie wzdłuż tej linii.

W przypadku kont AI Infosecurity Magazine podaje zalecenia Qrator: unieważnić ujawnione klucze AI, sprawdzić rozliczenia pod kątem legalnego wykorzystania oraz ustawić limity wydatków i mechanizmy kontroli automatycznych doładowań. Ostatni punkt ma największe znaczenie dla funkcji drain, ponieważ sama oferta sprzedawcy opiera się na tym, że doładowania powodują naliczanie opłat po wyczerpaniu salda.

W przypadku punktów końcowych Qrator zaleca oczyszczenie zainfekowanych maszyn. Komunikat ThaiCERT dodaje listę monitoringu, która bezpośrednio odpowiada temu, co według raportów robi moduł AI Stealth: nieautoryzowane wpisy autostartu, zadania zaplanowane i zmiany w wykluczeniach Windows Defender. Organizacja, która obserwuje te trzy obszary, obserwuje miejsca, w których – jak podaje moduł – dokonuje zapisów.

W przypadku sieci Qrator zaleca ochronę przed atakami typu denial-of-service zarówno na warstwie aplikacji, jak i na warstwie sieciowej — co, biorąc pod uwagę, że ruch związany z drain nigdy nie przechodzi przez aplikację, stanowi ochronę przed pozostałymi siedemnastoma metodami, a nie przed drain.

Co ustala dokumentacja, a czego nie ustala

Pliki archiwalne x47.c jako zrealizowany incydent związany z AI o średnim poziomie istotności, z oceną pewności A, bez odnotowanego sporu, z potwierdzonym udziałem AI i bez odnotowanych rzeczywistych szkód. Te pola są ze sobą spójne, gdy uwzględni się pochodzenie danych. Ocena pewności opisuje, jak dobrze udokumentowano twierdzenie, a nie to, czy opisana rzecz przydarzyła się komukolwiek: tutaj dokumentacja jest mocna, ponieważ laboratorium badawcze, dwa media branżowe i krajowy CERT opisują tę samą reklamę w ten sam sposób. Nic w tym łańcuchu nie wskazuje na bota w terenie.

Co zostało ustalone: produkt istnieje jako reklama, z opatrzonym datą cennikiem, udokumentowanym panelem oraz dwiema funkcjami AI, których działanie opisano w komunikatach statusowych samego sprzedawcy. Czego nie ustalono: ani jednej ofiary, ani jednej infekcji, ani jednego dolara wyczerpanego kredytu, ani żadnego potwierdzenia, że polecenie wyprowadzenia środków uruchomiono wobec aktywnego konta. Raport nie twierdzi inaczej, a sprzedawcy takich zestawów mają oczywisty powód, by wyolbrzymiać swoje możliwości.

Trwalsza kwestia jest mniejsza niż nagłówek. Atak typu denial-of-wallet nie potrzebuje botnetu, modelu ani nowatorskiego exploita; potrzebuje klucza API i pętli. To, co dodaje x47.c, to opakowanie — drenaż sprzedawany obok osiemnastu metod floodowania na tym samym panelu, skierowany do tego samego nabywcy. To opakowanie zamienia skryptową uciążliwość w pozycję w cenniku i to jest ta część raportu, która pozostanie prawdziwa, gdy konkretne twierdzenia o Grok zostaną sprawdzone lub zapomniane.