x47.c: uma botnet Windows à venda que drena créditos de IA e pergunta ao Grok como se esconder

Em 23 de setembro de 2026, o Qrator Research Labs publicou uma análise do x47.c, uma botnet Windows vendida por um agente de ameaça que se autodenomina WraithTools, cujo painel de comando anuncia dezoito métodos de negação de serviço, roubo de credenciais, retransmissão SOCKS5 e dois recursos construídos com base em IA. Um deles, "AI API drain", usa uma chave de API válida da OpenAI, da xAI ou compatível e gasta o crédito da vítima diretamente no provedor, enquanto o próprio site da vítima permanece online. O outro, "AI Stealth", pergunta ao Grok, da xAI, qual de um conjunto fixo de ações de persistência e ocultação deve ser aplicada a um host infectado. A pesquisa baseia-se no anúncio, na documentação e nas capturas de tela do painel do vendedor, e não em uma implantação observada: não há nela nenhuma vítima, contagem de infecções ou cifra de prejuízo. Este relato é extraído de um único registro no Orca AI Incident Archive, que classifica o x47.c como um incidente de gravidade média, marcado como arma e como caso de roubo de credenciais, indica o envolvimento de IA como confirmado e não registra danos no mundo real.

O que a Qrator publicou, e o que não observou

O Qrator Research Labs é uma equipe de pesquisa de um fornecedor de segurança de redes, e seu relatório é o único documento primário por trás de todos os relatos sobre o x47.c. A Infosecurity Magazine, que cobriu o relatório em 23 de setembro, afirma que as conclusões são extraídas do anúncio do vendedor, da documentação técnica, de capturas de tela do painel e de mensagens de acompanhamento. A reportagem da SecurityWeek veio em seguida, em 26 de setembro, e descreve a mesma base. Nenhum dos veículos relata uma infecção, uma vítima identificável, uma amostra de tráfego ou uma amostra recuperada analisada em laboratório.

O próprio anúncio é datado de 3 de agosto. De acordo com a SecurityWeek, o vendedor ofereceu o pacote base por US$ 200 e pediu US$ 150 pelo complemento de negação de serviço, com o pacote completo x47.c avaliado em US$ 950. A Infosecurity Magazine descreve a faixa como de US$ 200 a US$ 950, com o pacote superior acrescentando roubo de credenciais, uso de proxy e persistência assistida por IA.

A verificação independente mais útil das alegações veio da equipe nacional de resposta a emergências de computadores da Tailândia, e não de outro fornecedor de segurança. A ThaiCERT publicou um comunicado em inglês em 28 de setembro de 2026 declarando que "muitas dessas capacidades se baseiam em documentação e alegações publicadas pelo vendedor, e sua eficácia em ataques no mundo real ainda não foi totalmente verificada." Esse comunicado, porém, não é um teste independente, e não afirma ser: sua própria linha de fonte aponta para o artigo da SecurityWeek. Trata-se de um CERT nacional reafirmando um relatório de fornecedor, o que é um sinal significativo de que o relatório foi lido e levado a sério, e não evidência de que alguém tenha reproduzido o malware.

Cabe registrar aqui uma limitação. A página da própria Qrator não pôde ser acessada a partir desta máquina em 26 de outubro de 2026; o host respondeu com um desafio de autorização em vez do artigo. Portanto, todas as citações diretas da Qrator neste texto são reproduzidas conforme SecurityWeek e Infosecurity Magazine as publicaram, e devem ser lidas dessa forma.

A sangria da API de IA: um ataque que deixa o site de pé

Na aba de negação de serviço do painel, ao lado dos métodos convencionais de flood, está o recurso que tem chamado a atenção. A SecurityWeek descreve o operador fornecendo um nome de modelo e uma chave de API válida para a conta alvo na OpenAI, xAI ou em uma API de chat compatível, após o que o bot envia solicitações que geram cobrança. A Infosecurity Magazine descreve o mesmo comando como recebendo uma chave de API válida e enviando solicitações cobráveis repetidas diretamente ao provedor.

Vale a pena acompanhar o mecanismo, porque é ele o motivo pelo qual é difícil responder ao ataque com um firewall web. A explicação da Qrator, conforme citada pela SecurityWeek: "Como essas solicitações vão direto ao provedor, elas não precisam passar pela aplicação da vítima. O site pode permanecer acessível enquanto a conta por trás de seus recursos de IA fica sem créditos." A Infosecurity Magazine acrescenta o ponto da Qrator de que filtrar o tráfego no site não as impedirá, e observa que a OWASP chama essa classe de ataque de denial of wallet.

A Qrator descreveu a proposta de venda, assim como a técnica. A Infosecurity Magazine informa que o vendedor divulgava o método contra chatbots, sistemas de gerenciamento de conteúdo conectados à IA, robôs de negociação e scanners, inclusive como um serviço para usar contra concorrentes, e apontava as recargas automáticas como forma de manter as cobranças acumulando quando o saldo se esgota. Quanto o ataque custa à vítima depende de quanto gasto extra a conta permite.

Duas ressalvas mantêm isso em proporção, e ambas vêm da Qrator. A primeira é que a botnet não é estritamente necessária: qualquer pessoa que detenha uma chave válida poderia automatizar o mesmo ataque. A segunda é que não se demonstra que o recurso de drain e o ladrão de credenciais estejam conectados. O ladrão lista tokens de sites de IA entre seus alvos, mas a Infosecurity Magazine relata que a documentação não mostra esses tokens sendo convertidos em chaves de API para o comando de drain. As duas capacidades ficam lado a lado em um único produto; a cadeia do token roubado até a conta drenada não está documentada.

AI Stealth: um seletor, não um comandante

O segundo recurso de IA é aquele com que as manchetes abrem, e é o mais modesto dos dois. A descrição do Qrator, citada pela SecurityWeek: "O operador possibilita essas chamadas ao incluir uma chave xAI na compilação. As mensagens de status fornecidas relatam alterações na inicialização, reparo de persistência e exclusões do Windows Defender. Elas também mostram ações locais de fallback quando uma chamada ao modelo falha, permitindo que a manutenção do host continue sem uma resposta bem-sucedida da IA."

A Infosecurity Magazine expõe a função claramente: o módulo usa o Grok da xAI para avaliar o host infectado e escolher entre ações predefinidas de persistência e ocultação. A SecurityWeek acrescenta que essas ações incluem entradas de inicialização e tarefas agendadas, e que capacidades opcionais de process hollowing e escalonamento de privilégios também estão disponíveis.

Lidos em conjunto, esses detalhes descrevem um modelo usado como seletor. O menu é escrito pelo autor do malware; Grok escolhe a partir dele, usando tudo o que consegue observar sobre o host. O caminho de fallback importa mais do que a chamada ao modelo: um operador que perde o acesso à API, ou cuja chave é revogada, ainda tem um bot que se mantém sozinho. Bloquear a chamada degrada o recurso e não desativa o malware.

Essa é a distinção que o arquivo traça entre x47.c e uma entrada vizinha de 22 de setembro de 2026, ClosedQuorum, na qual um painel de modelos de linguagem é descrito como o próprio cérebro de comando e controle. Em x47.c, o modelo fica em um módulo opcional, realizando seleção de ações e drenagem de créditos à margem. O papel da IA está confirmado e é assistivo, não estrutural — razão pela qual o registro traz uma severidade média, e não uma mais alta.

O restante do kit, e onde as alegações do vendedor vão além das evidências

Os recursos de IA são duas linhas em uma lista de preços mais longa, e as capacidades convencionais compõem a maior parte do produto. A SecurityWeek relata que a aba de negação de serviço do painel expõe dezoito métodos de ataque: floods HTTP, esgotamento de API de IA, HTTP lento, floods TCP e UDP, um stresser TLS e várias técnicas de reflexão e amplificação.

Em torno disso estão as partes que fazem dele uma botnet e não um script de ataque. A SecurityWeek relata que o stealer coleta senhas e cookies do navegador, tokens do Discord, dados de carteiras e tokens de sites de IA, além de um módulo SOCKS5 que retransmite tráfego por máquinas infectadas, com o operador podendo monitorar várias conexões de proxy e verificar seu estado de funcionamento e timeouts. A configuração fast-flux do vendedor oferece seis domínios e oito endereços IP na sua aba de gerenciamento, juntamente com opções de nome de host e IP preferenciais para hosts individuais — embora, como observa a Infosecurity Magazine, vários desses domínios possam apontar para um único servidor.

O operador também pode baixar, atualizar e remover software em um host, e o vendedor promove um módulo de rootkit para remover artefatos rivais das máquinas que tomou. Esse último item é um detalhe comercial tanto quanto técnico: uma botnet vendida com uma ferramenta para expulsar concorrentes é um produto defendendo sua base instalada.

Nem tudo se sustenta. A Infosecurity Magazine relata que a Qrator não encontrou resultados de testes que comprovem os modos de contorno de proteção anunciados. As alegações do vendedor e as evidências do vendedor não são a mesma coisa, e o relatório diz isso onde pode.

O que os pesquisadores disseram aos defensores para fazer

Não há patch nesta história, porque não há vulnerabilidade a corrigir. O x47.c é um malware que precisa ser removido dos hosts, e as recomendações de defesa se dividem por essa linha.

Para as contas de IA, a Infosecurity Magazine relata as recomendações da Qrator: revogar as chaves de IA expostas, verificar a faturação face à utilização legítima e definir limites de despesa e controlos sobre os carregamentos automáticos. Este último ponto é o mais importante para a funcionalidade de esgotamento, uma vez que a própria proposta de venda do vendedor depende de os carregamentos continuarem a acumular cobranças depois de o saldo estar esgotado.

Para os endpoints, a Qrator recomenda a limpeza das máquinas infetadas. O aviso do ThaiCERT acrescenta uma lista de monitorização que corresponde diretamente ao que o módulo AI Stealth indica que faz: entradas de arranque não autorizadas, tarefas agendadas e alterações às exclusões do Windows Defender. Uma organização que monitoriza estas três coisas está a monitorizar os locais onde o módulo indica que escreve.

Para a rede, a Qrator recomenda proteção contra negação de serviço tanto na camada de aplicação quanto na camada de rede — o que, dado que o tráfego de drenagem nunca atravessa a aplicação, é proteção contra os outros dezessete métodos, e não contra a drenagem.

O que o registro estabelece, e o que não estabelece

O arquivo registra x47.c como um incidente relacionado à IA já concretizado, de gravidade média, com confiança classificada como A, nenhuma disputa registrada, envolvimento de IA confirmado e nenhum dano real registrado. Esses campos são coerentes entre si quando se leva em conta a proveniência. Um grau de confiança descreve quão bem documentada é uma alegação, não se aquilo que é descrito aconteceu com alguém: aqui a documentação é forte porque um laboratório de pesquisa, dois veículos especializados e um CERT nacional descrevem o mesmo anúncio nos mesmos termos. Nada nessa cadeia mostra um bot em campo.

O que está estabelecido: o produto existe como anúncio, com uma tabela de preços datada, um painel documentado e dois recursos de IA cujo comportamento é descrito nas próprias mensagens de status do vendedor. O que não está estabelecido: uma única vítima, uma única infecção, um único dólar de crédito drenado ou qualquer confirmação de que o comando de drenagem tenha sido executado contra uma conta ativa. O relatório não alega o contrário, e os vendedores desse tipo de kit têm um motivo óbvio para exagerar o que são capazes de fazer.

O ponto mais duradouro é menor do que a manchete. Um ataque de negação de carteira não precisa de uma botnet, de um modelo ou de um exploit inédito; precisa de uma chave de API e de um loop. O que o x47.c acrescenta é o empacotamento — a drenagem vendida ao lado de dezoito métodos de flood no mesmo painel, destinada ao mesmo comprador. Esse empacotamento é o que transforma um incômodo scriptável em um item de linha, e é a parte deste relatório que continuará verdadeira depois que as alegações específicas sobre o Grok tiverem sido testadas ou esquecidas.