x47.c: Windows-ботнет на продажу, который тратит ИИ-кредиты и спрашивает у Grok, как скрыться

23 сентября 2026 года Qrator Research Labs опубликовала анализ x47.c — ботнета для Windows, продаваемого субъектом угрозы, который называет себя WraithTools, чья командная панель рекламирует восемнадцать методов отказа в обслуживании, кражу учётных данных, ретрансляцию SOCKS5 и две функции на основе ИИ. Одна из них, "AI API drain", берёт действительный API-ключ OpenAI, xAI или совместимый и тратит кредит жертвы непосредственно у провайдера, пока собственный сайт жертвы остаётся онлайн. Другая, "AI Stealth", спрашивает у Grok от xAI, какие из фиксированного набора действий по закреплению и сокрытию применить к заражённому хосту. Исследование основано на рекламе продавца, документации и скриншотах панели, а не на наблюдаемом развёртывании: в нём нет ни жертвы, ни числа заражений, ни суммы потерь. Этот отчёт основан на единственной записи в Архиве инцидентов Orca AI, где x47.c числится инцидентом средней серьёзности с тегами «оружие» и «случай кражи учётных данных», участие ИИ отмечено как подтверждённое, а реальный ущерб не зафиксирован.

Что Qrator опубликовал, а что не наблюдал

Qrator Research Labs — исследовательская команда поставщика решений сетевой безопасности, и её отчёт является единственным первоисточником, лежащим в основе всех описаний x47.c. Infosecurity Magazine, осветивший этот отчёт 23 сентября, утверждает, что выводы сделаны на основе рекламного объявления продавца, технической документации, скриншотов панели и последующих сообщений. Материал SecurityWeek последовал 26 сентября и описывает ту же основу. Ни одно из изданий не сообщает о заражении, поддающейся идентификации жертве, образце трафика или восстановленном образце, проанализированном в лаборатории.

Само объявление датировано 3 августа. По данным SecurityWeek, продавец предлагал базовый пакет за $200 и просил $150 за дополнение для атак типа «отказ в обслуживании», при этом весь пакет x47.c оценивался в $950. Infosecurity Magazine описывает диапазон как $200–$950, причём в топовый пакет входят кража учётных данных, проксирование и ИИ-ассистированное закрепление в системе.

Наиболее полезная независимая проверка этих утверждений поступила от национальной команды реагирования на компьютерные чрезвычайные ситуации Таиланда, а не от очередного поставщика средств безопасности. ThaiCERT опубликовала 28 сентября 2026 года англоязычное уведомление, в котором говорилось, что «многие из этих возможностей основаны на документации и заявлениях, опубликованных продавцом, а их эффективность в реальных атаках еще не была полностью подтверждена». Однако это уведомление не является независимым тестом и не претендует на это: в его собственной строке источника указана статья SecurityWeek. Это национальный CERT, повторяющий отчет поставщика, что является значимым сигналом того, что отчет был прочитан и воспринят серьезно, а не доказательством того, что кто-либо воспроизвел вредоносное ПО.

Об одном ограничении следует упомянуть здесь. Собственную страницу Qrator не удалось получить с этой машины 26 октября 2026 года; вместо статьи хост ответил запросом авторизации. Поэтому все прямые цитаты из Qrator в этом материале воспроизводятся в том виде, в каком их напечатали SecurityWeek и Infosecurity Magazine, и именно так их следует читать.

Истощение AI API: атака, после которой сайт продолжает работать

На вкладке панели, посвящённой атакам типа «отказ в обслуживании», наряду с традиционными методами флуда находится функция, привлёкшая внимание. SecurityWeek описывает, как оператор указывает имя модели и действительный API-ключ для целевой учётной записи в OpenAI, xAI или совместимом чат-API, после чего бот отправляет запросы, подлежащие оплате. Infosecurity Magazine описывает ту же команду как принимающую действительный API-ключ и отправляющую повторяющиеся платные запросы напрямую провайдеру.

Этот механизм стоит проследить, потому что именно из-за него на атаку трудно ответить с помощью веб-файрвола. Объяснение Qrator, которое приводит SecurityWeek: «Поскольку эти запросы идут напрямую к провайдеру, им не нужно проходить через приложение жертвы. Сайт может оставаться доступным, пока у учетной записи, обеспечивающей его AI-функции, заканчиваются кредиты». Infosecurity Magazine добавляет мысль Qrator о том, что фильтрация трафика на сайте их не остановит, и отмечает, что OWASP называет этот класс атак «denial of wallet» (отказ кошелька).

Qrator описал как рекламное предложение, так и саму технику. Infosecurity Magazine сообщает, что продавец продвигал этот метод для атак на чат-ботов, подключённые к ИИ системы управления контентом, торговых ботов и сканеры, в том числе в качестве услуги для использования против конкурентов, и указывал на автоматические пополнения как способ обеспечивать начисление списаний после исчерпания баланса. То, во сколько атака обойдётся жертве, зависит от того, какие дополнительные расходы допускает счёт.

Две оговорки позволяют сохранить правильные пропорции, и обе исходят от Qrator. Первая: ботнет не является строго необходимым — любой, у кого есть действительный ключ, мог бы автоматизировать ту же атаку. Вторая: не показано, что функция drain и стилер учётных данных связаны между собой. Стилер перечисляет токены AI-сайтов среди своих целей, но Infosecurity Magazine сообщает, что документация не показывает, как эти токены превращаются в API-ключи для команды drain. Две возможности соседствуют в одном продукте; цепочка от украденного токена до опустошённого аккаунта не задокументирована.

AI Stealth: выбирает, а не командует

Вторая ИИ-функция — та, что вынесена в заголовки, и она скромнее из двух. Описание Qrator, процитированное SecurityWeek: "Оператор делает такие вызовы возможными, включая ключ xAI в сборку. Предоставляемые статусные сообщения сообщают об изменениях при запуске, восстановлении механизмов сохранения и исключениях Windows Defender. Они также показывают локальные резервные действия при неудачном вызове модели, позволяя продолжить обслуживание хоста без успешного ответа ИИ."

Infosecurity Magazine прямо описывает ситуацию: модуль использует Grok от xAI для оценки заражённого хоста и выбора из заранее заданных действий по закреплению и сокрытию. SecurityWeek добавляет, что эти действия включают записи в автозагрузке и запланированные задачи, а также доступны опциональные возможности process hollowing и повышения привилегий.

В совокупности эти детали описывают модель, используемую в качестве селектора. Меню составляется автором вредоносной программы; Grok выбирает из него, используя всё, что может наблюдать о хосте. Резервный путь важнее, чем вызов модели: оператор, потерявший доступ к API или чей ключ отозван, всё ещё располагает ботом, который сам себя поддерживает. Блокировка вызова ухудшает работу функции, но не отключает вредоносную программу.

Именно это различие архив проводит между x47.c и соседней записью от 22 сентября 2026 года, ClosedQuorum, где панель языковых моделей описывается как сам мозг командования и управления. В x47.c модель размещается в необязательном модуле и дополнительно выполняет выбор действий и истощение кредитов. Роль ИИ подтверждена, и она вспомогательная, а не структурная, — что также объясняет, почему запись имеет средний уровень серьёзности, а не более высокий.

Остальная часть комплекта — и где утверждения продавца опережают доказательства

Функции ИИ — это две строки в более длинном прайс-листе, а обычные возможности составляют основную часть продукта. {{1}}SecurityWeek{{/1}} сообщает, что вкладка панели, посвящённая атакам типа «отказ в обслуживании», включает восемнадцать методов атак: HTTP-флуды, истощение API ИИ, медленный HTTP, TCP- и UDP-флуды, TLS-стрессер и различные методы отражения и усиления.

Вокруг этого расположены компоненты, которые делают его ботнетом, а не скриптом для атаки. SecurityWeek сообщает, что стилер собирает пароли и cookie из браузеров, токены Discord, данные кошельков и токены AI-сайтов, а также модуль SOCKS5, который ретранслирует трафик через заражённые машины, при этом оператор может отслеживать несколько прокси-подключений и проверять их состояние и тайм-ауты. Конфигурация fast-flux продавца предлагает шесть доменов и восемь IP-адресов во вкладке управления, а также параметры предпочитаемого имени хоста и IP для отдельных хостов — хотя, как отмечает Infosecurity Magazine, некоторые из этих доменов могут указывать на один сервер.

Оператор также может загружать, обновлять и удалять программное обеспечение на хосте, а продавец продвигает модуль руткита для удаления артефактов конкурентов с захваченных им машин. Последний пункт — в такой же мере деловая деталь, как и техническая: ботнет, продаваемый с инструментом для вытеснения конкурентов, — это продукт, защищающий свою установленную базу.

Не всё это выдерживает проверку. Infosecurity Magazine сообщает, что Qrator не нашёл результатов тестов, подтверждающих рекламируемые режимы обхода защиты. Утверждения продавца и доказательства продавца — не одно и то же, и в отчёте это говорится там, где это возможно.

Что исследователи сказали защитникам делать

В этой истории нет патча, потому что нет уязвимости, которую нужно патчить. x47.c — это вредоносное ПО, которое необходимо удалить с хостов, и рекомендации по защите разделяются по этой линии.

Что касается аккаунтов ИИ, Infosecurity Magazine сообщает о рекомендациях Qrator: отозвать раскрытые ключи ИИ, сверять выставление счетов с законным использованием и установить лимиты расходов и контроль автоматических пополнений. Последний пункт — самый важный для функции drain, поскольку собственное предложение продавца зависит от того, что пополнения поддерживают начисление списаний после исчерпания баланса.

На конечных точках Qrator рекомендует провести очистку заражённых машин. Рекомендательное сообщение ThaiCERT добавляет список для мониторинга, который напрямую соотносится с тем, что, согласно отчётам, делает модуль AI Stealth: несанкционированные записи в автозагрузке, запланированные задачи и изменения в исключениях Windows Defender. Организация, которая отслеживает эти три вещи, наблюдает за теми местами, куда, как утверждается, модуль осуществляет запись.

{{1}}Для сети{{/1}} Qrator рекомендует защиту от атак типа «отказ в обслуживании» как на прикладном, так и на сетевом уровне — что, учитывая, что drain-трафик никогда не проходит через приложение, представляет собой защиту от остальных семнадцати методов, а не от drain.

Что подтверждают материалы дела, а что — нет

Архив классифицирует x47.c как реализовавшийся инцидент, связанный с ИИ, средней степени серьёзности, с оценкой достоверности A, без зафиксированных споров, с подтверждённым участием ИИ и без зафиксированного реального ущерба. Эти поля согласуются друг с другом, если учитывать происхождение данных. Оценка достоверности описывает, насколько хорошо документировано утверждение, а не то, случилось ли описанное с кем-либо: здесь документация сильна, потому что исследовательская лаборатория, два отраслевых издания и национальный CERT описывают одно и то же объявление в одних и тех же терминах. Ничто в этой цепочке не показывает бота, действующего в реальных условиях.

Что установлено: продукт существует в виде рекламы, с датированным прайс-листом, задокументированной панелью и двумя ИИ-функциями, поведение которых описано в собственных статусных сообщениях продавца. Что не установлено: ни одной жертвы, ни одного заражения, ни одного доллара выведенных средств или какого-либо подтверждения того, что команда вывода запускалась против действующего аккаунта. В отчёте не утверждается обратное, а у продавцов таких наборов есть очевидная причина преувеличивать свои возможности.

Более долговечный тезис скромнее, чем заголовок. Атаке на истощение кошелька не нужны ботнет, модель или новая эксплойт-уязвимость; ей достаточно ключа API и цикла. Что добавляет x47.c — это упаковка: слив средств продаётся рядом с восемнадцатью методами флуда на той же панели и нацелен на того же покупателя. Именно эта упаковка превращает поддающуюся скриптованию помеху в статью расходов, и именно эта часть отчёта останется верной после того, как конкретные утверждения о Grok будут проверены или забыты.