x47.c: En Windows-botnet till salu som dränerar AI-kredit och frågar Grok hur man håller sig dold

Den 23 september 2026 publicerade Qrator Research Labs en analys av x47.c, en Windows-botnet som säljs av en hotaktör som kallar sig WraithTools, vars kommandopanel annonserar arton denial-of-service-metoder, stöld av autentiseringsuppgifter, SOCKS5-relä och två funktioner byggda på AI. En av dem, "AI API drain", tar en giltig OpenAI-, xAI- eller kompatibel API-nyckel och spenderar offrets kredit direkt hos leverantören medan offrets egen webbplats förblir online. Den andra, "AI Stealth", frågar xAI:s Grok vilka av en fast uppsättning åtgärder för persistens och döljande som ska tillämpas på en infekterad värd. Forskningen bygger på säljarens annons, dokumentation och skärmbilder från panelen snarare än på en observerad driftsättning: inget offer, inget antal infektioner eller någon förlustsiffra förekommer i den. Denna redogörelse bygger på en enda post i Orca AI Incident Archive, som registrerar x47.c som en incident med medelhög allvarlighetsgrad, taggad som ett vapen och ett fall av stöld av autentiseringsuppgifter, markerar AI-inblandning som bekräftad och noterar ingen verklig skada.

Vad Qrator publicerade, och vad det inte observerade

Qrator Research Labs är ett forskningsteam vid en leverantör av nätverkssäkerhet, och dess rapport är det enda primärdokumentet bakom varje redogörelse för x47.c. Infosecurity Magazine, som rapporterade om rapporten den 23 september, uppger att fynden kommer från säljarens annons, tekniska dokumentation, skärmdumpar av paneler och uppföljningsmeddelanden. SecurityWeeks redogörelse följde den 26 september och beskriver samma underlag. Ingen av publikationerna rapporterar om en infektion, ett namngivbart offer, ett trafikprov eller ett återfunnet prov som analyserats i ett labb.

Själva annonsen är daterad 3 augusti. Enligt SecurityWeek erbjöd säljaren baspaketet för $200 och begärde $150 för tillägget för överbelastningsattack, medan hela x47.c-paketet prissattes till $950. Infosecurity Magazine beskriver intervallet som $200 till $950, där det högsta paketet även tillför stöld av inloggningsuppgifter, proxyfunktionalitet och AI-assisterad persistens.

Den mest användbara oberoende kontrollen av påståendena kom från Thailands nationella datorberedskapsgrupp (computer emergency response team) snarare än från en annan säkerhetsleverantör. ThaiCERT publicerade ett engelskt säkerhetsmeddelande den 28 september 2026 där det stod att "många av dessa funktioner bygger på dokumentation och påståenden som säljaren har publicerat, och deras effektivitet vid verkliga attacker har ännu inte verifierats fullt ut." Det meddelandet är dock inte ett oberoende test, och det gör inte anspråk på att vara det: dess egen källhänvisning pekar på SecurityWeeks artikel. Det är ett nationellt CERT som upprepar en leverantörsrapport, vilket är en meningsfull signal om att rapporten lästes och togs på allvar, och inte bevis för att någon har reproducerat skadeprogrammet.

Ett förbehåll bör noteras här. Qrators egen sida kunde inte hämtas från den här maskinen den 26 oktober 2026; värden svarade med en auktoriseringsutmaning i stället för artikeln. Varje direktcitat från Qrator i den här artikeln återges därför så som SecurityWeek och Infosecurity Magazine tryckte det, och bör läsas på det sättet.

AI API-dräneringen: en attack som lämnar webbplatsen stående

I panelens flik för överbelastningsattacker (denial-of-service) finns, vid sidan av de konventionella överbelastningsmetoderna, funktionen som har väckt uppmärksamhet. SecurityWeek beskriver hur operatören anger ett modellnamn och en giltig API-nyckel för det riktade kontot hos OpenAI, xAI eller ett kompatibelt chatt-API, varefter boten skickar förfrågningar som är debiterbara. Infosecurity Magazine beskriver samma kommando som att ta en giltig API-nyckel och skicka upprepade debiterbara förfrågningar direkt till leverantören.

Mekanismen är värd att följa, eftersom den är anledningen till att attacken är svår att bemöta med en webbbrandvägg. Qrators förklaring, så som SecurityWeek citerar den: "Eftersom de förfrågningarna går direkt till leverantören behöver de inte passera offrets applikation. Webbplatsen kan förbli nåbar medan kontot bakom dess AI-funktioner får slut på krediter." Infosecurity Magazine tillägger Qrators poäng att filtrering av trafik på webbplatsen inte kommer att stoppa dem, och noterar att OWASP kallar denna typ av attack för denial of wallet.

Qrator beskrev både säljargumentet och tekniken. Infosecurity Magazine rapporterar att säljaren marknadsförde metoden mot chattbotar, AI-anslutna innehållshanteringssystem, handelsbotar och skannrar, bland annat som en tjänst att använda mot konkurrenter, och pekade på automatiska påfyllningar som ett sätt att låta avgifterna fortsätta ticka när saldot tar slut. Hur mycket attacken kostar offret beror på hur mycket extra utgifter kontot tillåter.

Två förbehåll håller detta i proportion, och båda kommer från Qrator. Det första är att botnätet inte är strängt nödvändigt: vem som helst som har en giltig nyckel skulle kunna skripta samma attack. Det andra är att det inte framgår att uttömningsfunktionen och stöldprogrammet för autentiseringsuppgifter är sammankopplade. Stöldprogrammet listar token från AI-webbplatser bland sina mål, men Infosecurity Magazine rapporterar att dokumentationen inte visar att dessa token görs om till API-nycklar för uttömningskommandot. De två funktionerna finns sida vid sida i en och samma produkt; kedjan från stulen token till tömt konto dokumenteras inte.

AI Stealth: en väljare, inte en befälhavare

Den andra AI-funktionen är den som rubrikerna lyfter fram, och den är den mer blygsamma av de två. Qrators beskrivning, citerad av SecurityWeek: "Operatören möjliggör dessa anrop genom att inkludera en xAI-nyckel i bygget. De medföljande statusmeddelandena rapporterar startändringar, reparationsåtgärder för persistens och Windows Defender-undantag. De visar också lokala reservåtgärder när ett modellanrop misslyckas, vilket låter värdunderhållet fortsätta utan ett lyckat AI-svar."

Infosecurity Magazine beskriver det rakt ut: modulen använder xAI:s Grok för att bedöma den infekterade värden och välja bland fördefinierade åtgärder för persistens och döljande. SecurityWeek tillägger att dessa åtgärder omfattar autostartposter och schemalagda uppgifter, och att valfria funktioner för process hollowing och privilegieeskalering också är tillgängliga.

Lästa tillsammans beskriver dessa detaljer en modell som används som väljare. Menyn skrivs av den skadliga kodens upphovsman; Grok väljer från den, med hjälp av vad den än kan observera om värden. Reservvägen spelar större roll än modellanropet: en operatör som förlorar åtkomst till API:et, eller vars nyckel återkallas, har fortfarande en bot som upprätthåller sig själv. Att blockera anropet försämrar funktionen och inaktiverar inte den skadliga koden.

Det är den åtskillnad som arkivet gör mellan x47.c och en närliggande post från 22 september 2026, ClosedQuorum, där en språkmodellpanel beskrivs som själva kommando- och kontrollhjärnan. I x47.c sitter modellen i en valfri modul och utför åtgärdsval och kreditdränering vid sidan om. AI-rollen är bekräftad och den är stödjande, inte strukturell – vilket också är anledningen till att posten har medelhög allvarlighetsgrad i stället för en högre.

Resten av kitet, och där säljarens påståenden går utöver bevisen

AI-funktionerna utgör två rader i en längre prislista, och de konventionella funktionerna är vad produkten till största delen består av. SecurityWeek rapporterar att panelens flik för överbelastningsattacker visar arton attackmetoder: HTTP-floodar, AI API-draining, slow HTTP, TCP- och UDP-floodar, en TLS-stressare samt olika reflection- och amplification-tekniker.

Runt det ligger de delar som gör det till en botnet och inte ett attackskript. SecurityWeek rapporterar att stealern samlar in webbläsarlösenord och cookies, Discord-token, plånboksdata och AI-webbplatstoken, samt en SOCKS5-modul som vidarebefordrar trafik genom infekterade maskiner, där operatören kan övervaka flera proxyanslutningar och kontrollera deras hälsostatus och timeouts. Säljarens fast-flux-konfiguration erbjuder sex domäner och åtta IP-adresser i sin hanteringsflik, tillsammans med alternativ för önskat värdnamn och IP för enskilda värdar – men som Infosecurity Magazine noterar kan flera av dessa domäner peka på en enda server.

Operatören kan också ladda ner, uppdatera och ta bort programvara på en värddator, och säljaren marknadsför en rootkit-modul för att ta bort konkurrerande artefakter från maskiner som den har tagit över. Den sista detaljen är lika mycket en affärsdetalj som en teknisk sådan: ett botnet som säljs med ett verktyg för att kasta ut konkurrenter är en produkt som försvarar sin installerade bas.

Allt håller inte. Infosecurity Magazine rapporterar att Qrator inte hittade några testresultat som stöder de annonserade lägena för att kringgå skydd. Säljarens påståenden och säljarens bevis är inte samma sak, och rapporten säger det där den kan.

Vad forskarna sa till försvararna att göra

Det finns ingen patch i den här historien, eftersom det inte finns någon sårbarhet att patcha. x47.c är skadlig programvara som måste tas bort från värdar, och de defensiva råden delar sig längs den linjen.

För AI-kontona rapporterar Infosecurity Magazine Qrators rekommendationer: återkalla exponerade AI-nycklar, kontrollera fakturering mot legitim användning och sätt utgiftsgränser och kontroller för automatiska påfyllningar. Den sista punkten är den som spelar störst roll för dräneringsfunktionen, eftersom säljarens eget säljargument bygger på att påfyllningar håller avgifterna löpande efter att ett saldo har förbrukats.

För slutpunkterna rekommenderar Qrator rensning av infekterade maskiner. ThaiCERT:s rådgivning lägger till en övervakningslista som direkt motsvarar det AI Stealth-modulen rapporterar att den gör: otillåtna autostartposter, schemalagda uppgifter och ändringar av Windows Defender-undantag. En organisation som övervakar dessa tre saker övervakar de platser som modulen säger att den skriver till.

För nätverket rekommenderar Qrator skydd mot överbelastningsattacker både på applikations- och nätverkslagret – vilket, med tanke på att drain-trafiken aldrig passerar applikationen, är skydd mot de andra sjutton metoderna snarare än mot drain.

Vad handlingarna fastställer, och vad de inte fastställer

Arkivet registrerar x47.c som en inträffad AI-relaterad incident av medelhög allvarlighetsgrad, med konfidensgrad A, ingen registrerad tvist, bekräftad AI-inblandning och ingen registrerad faktisk skada. Dessa fält är konsistenta med varandra så länge proveniensen beaktas. En konfidensgrad beskriver hur väl dokumenterat ett påstående är, inte huruvida det beskrivna har hänt någon: här är dokumentationen stark eftersom ett forskningslabb, två branschmedier och ett nationellt CERT alla beskriver samma annons med samma formuleringar. Inget i den kedjan visar att det finns en bot i fält.

Vad som är fastställt: produkten existerar i form av en annons, med en daterad prislista, en dokumenterad panel och två AI-funktioner vars beteende beskrivs i säljarens egna statusmeddelanden. Vad som inte är fastställt: ett enda offer, en enda infektion, en enda dollar i uttömd kredit, eller någon bekräftelse på att uttömningskommandot har körts mot ett aktivt konto. Rapporten påstår inte motsatsen, och säljarna av sådana kit har en uppenbar anledning att överdriva vad de kan göra.

Den mer hållbara poängen är mindre än rubriken. En denial-of-wallet-attack behöver inte ett botnet, en modell eller ett nytt exploit; den behöver en API-nyckel och en loop. Det x47.c tillför är paketering – tömningen säljs bredvid arton floodmetoder på samma panel, riktad till samma köpare. Den paketeringen är det som förvandlar en skriptbar olägenhet till en budgetpost, och det är den del av den här rapporten som fortfarande kommer att vara sann efter att de specifika påståendena om Grok har testats eller glömts.