x47.c: Một botnet Windows đang được rao bán, rút cạn tín dụng AI và hỏi Grok cách ẩn mình

Vào ngày 23 tháng 9 năm 2026, Qrator Research Labs đã công bố một phân tích về x47.c, một botnet Windows được bán bởi một tác nhân đe dọa tự gọi mình là WraithTools, mà bảng điều khiển lệnh của nó quảng cáo mười tám phương thức tấn công từ chối dịch vụ, đánh cắp thông tin đăng nhập, chuyển tiếp SOCKS5 và hai tính năng được xây dựng trên AI. Một tính năng, "AI API drain", lấy một khóa API hợp lệ của OpenAI, xAI hoặc khóa tương thích và tiêu tín dụng của nạn nhân trực tiếp tại nhà cung cấp trong khi trang web của chính nạn nhân vẫn trực tuyến. Tính năng còn lại, "AI Stealth", hỏi Grok của xAI nên áp dụng hành động nào trong một tập hợp cố định các hành động duy trì tồn tại và che giấu đối với một máy chủ bị nhiễm. Nghiên cứu được rút ra từ quảng cáo, tài liệu và ảnh chụp bảng điều khiển của người bán chứ không phải từ một triển khai đã được quan sát: không có nạn nhân, số lượng lây nhiễm hay con số thiệt hại nào xuất hiện trong đó. Bản tường thuật này được rút ra từ một bản ghi duy nhất trong Orca AI Incident Archive, nơi xếp x47.c là một sự cố mức độ trung bình được gắn thẻ là vũ khí và một vụ đánh cắp thông tin đăng nhập, đánh dấu sự tham gia của AI là đã xác nhận, và ghi nhận không có tổn hại thực tế nào.

Những gì Qrator đã công bố và những gì nó không quan sát được

{{1}}Qrator Research Labs{{/1}} là nhóm nghiên cứu của một nhà cung cấp bảo mật mạng, và bài viết của nhóm là tài liệu chính duy nhất đứng sau mọi tường thuật về {{2}}x47.c{{/2}}. Infosecurity Magazine, đơn vị đưa tin về báo cáo này vào ngày 23 tháng 9, nêu rằng các phát hiện được rút ra từ quảng cáo của người bán, tài liệu kỹ thuật, ảnh chụp màn hình bảng điều khiển và các tin nhắn trao đổi tiếp theo. Bài viết của SecurityWeek tiếp theo vào ngày 26 tháng 9 và mô tả cùng cơ sở đó. Cả hai ấn phẩm đều không đưa tin về một ca nhiễm, một nạn nhân có thể nêu tên, một mẫu lưu lượng hay một mẫu được khôi phục và phân tích trong phòng thí nghiệm.

Bản thân quảng cáo được ghi ngày 3 tháng 8. Theo SecurityWeek, người bán chào gói cơ bản với giá 200 USD và yêu cầu 150 USD cho tiện ích bổ sung tấn công từ chối dịch vụ, với toàn bộ gói x47.c có giá 950 USD. Infosecurity Magazine mô tả phạm vi giá từ 200 USD đến 950 USD, trong đó gói cao cấp nhất bổ sung đánh cắp thông tin xác thực, proxy và khả năng duy trì liên tục có sự hỗ trợ của AI.

Công cụ kiểm chứng độc lập hữu ích nhất đối với các tuyên bố đến từ nhóm ứng phó sự cố máy tính quốc gia Thái Lan chứ không phải từ một nhà cung cấp bảo mật khác. ThaiCERT đã công bố một khuyến cáo bằng tiếng Anh vào ngày 28 tháng 9 năm 2026 nêu rằng "nhiều khả năng trong số này dựa trên tài liệu và các tuyên bố do người bán công bố, và hiệu quả của chúng trong các cuộc tấn công thực tế vẫn chưa được xác minh đầy đủ."Tuy nhiên, khuyến cáo đó không phải là một cuộc kiểm thử độc lập và cũng không tự nhận là như vậy: dòng nguồn của chính nó trỏ đến bài báo của SecurityWeek. Đó là một CERT quốc gia nhắc lại một báo cáo của nhà cung cấp, đây là một tín hiệu có ý nghĩa cho thấy báo cáo đã được đọc và xem trọng, chứ không phải bằng chứng rằng ai đó đã tái tạo được phần mềm độc hại.

Có một hạn chế cần được ghi nhận ở đây. Trang của chính Qrator không thể được truy xuất từ máy này vào ngày 26 tháng 10 năm 2026; máy chủ đã trả lời bằng một thử thách cấp quyền thay vì bài viết. Mọi trích dẫn trực tiếp từ Qrator trong bài này do đó được tái hiện đúng như SecurityWeek và Infosecurity Magazine đã in, và cần được hiểu theo cách đó.

Rút cạn API AI: một cuộc tấn công mà trang web vẫn trụ vững

Trong thẻ tấn công từ chối dịch vụ của bảng điều khiển, bên cạnh các phương thức làm ngập thông thường, có tính năng đã thu hút sự chú ý. SecurityWeek mô tả việc người vận hành cung cấp tên mô hình và khóa API hợp lệ cho tài khoản mục tiêu trên OpenAI, xAI hoặc một API trò chuyện tương thích, sau đó bot gửi các yêu cầu có thể bị tính phí. Infosecurity Magazine mô tả cùng lệnh đó là nhận một khóa API hợp lệ và gửi lặp lại các yêu cầu có thể bị tính phí trực tiếp đến nhà cung cấp.

Cơ chế này đáng để theo dõi, vì đó là lý do khiến cuộc tấn công khó bị đối phó bằng tường lửa web. Lời giải thích của Qrator, như SecurityWeek trích dẫn: “Bởi vì những yêu cầu đó đi thẳng đến nhà cung cấp, chúng không cần phải đi qua ứng dụng của nạn nhân. Trang web có thể vẫn truy cập được trong khi tài khoản đằng sau các tính năng AI của nó cạn kiệt tín dụng.” Infosecurity Magazine bổ sung quan điểm của Qrator rằng lọc lưu lượng truy cập tại trang web sẽ không ngăn chặn được chúng, và lưu ý rằng OWASP gọi loại tấn công này là denial of wallet.

Qrator đã mô tả cả chiêu chào bán lẫn kỹ thuật. Infosecurity Magazine đưa tin rằng người bán đã tiếp thị phương pháp này để nhắm vào chatbot, hệ thống quản lý nội dung kết nối AI, bot giao dịch và máy quét, bao gồm cả việc cung cấp dưới dạng dịch vụ để dùng chống lại đối thủ cạnh tranh, và chỉ ra tính năng tự động nạp tiền như một cách để các khoản phí tiếp tục phát sinh khi số dư cạn kiệt. Mức thiệt hại mà cuộc tấn công gây ra cho nạn nhân phụ thuộc vào mức chi tiêu bổ sung mà tài khoản cho phép.

Hai lưu ý giúp giữ việc này ở đúng mức độ, và cả hai đều đến từ Qrator. Thứ nhất là botnet không thực sự cần thiết: bất kỳ ai nắm giữ một khóa hợp lệ đều có thể viết kịch bản cho cuộc tấn công tương tự. Thứ hai là tính năng rút cạn (drain) và trình đánh cắp thông tin đăng nhập không được chứng minh là có liên kết với nhau. Công cụ đánh cắp liệt kê token của các trang AI trong số mục tiêu của nó, nhưng Infosecurity Magazine đưa tin rằng tài liệu không cho thấy những token đó được chuyển thành khóa API cho lệnh drain. Hai khả năng cùng tồn tại song song trong một sản phẩm; chuỗi từ token bị đánh cắp đến tài khoản bị rút cạn không được ghi nhận trong tài liệu.

AI Stealth: công cụ để lựa chọn, không phải để chỉ huy

Tính năng AI thứ hai là tính năng được các tiêu đề đề cập đầu tiên, và đây là tính năng khiêm tốn hơn trong hai tính năng. Mô tả của Qrator, được SecurityWeek trích dẫn: "Người vận hành cho phép các cuộc gọi đó bằng cách đưa khóa xAI vào bản dựng. Các thông báo trạng thái được cung cấp báo cáo các thay đổi khởi động, sửa chữa cơ chế duy trì và loại trừ Windows Defender. Chúng cũng hiển thị các hành động dự phòng cục bộ khi cuộc gọi mô hình thất bại, cho phép bảo trì máy chủ tiếp tục mà không cần phản hồi AI thành công."

Infosecurity Magazine nói thẳng vấn đề: mô-đun này sử dụng Grok của xAI để đánh giá máy bị nhiễm và chọn từ các hành động duy trì hiện diện và che giấu đã được định nghĩa trước. SecurityWeek bổ sung rằng những hành động đó bao gồm các mục khởi động và tác vụ đã lập lịch, đồng thời cũng có sẵn các khả năng tùy chọn là process hollowing và leo thang đặc quyền.

Đọc cùng nhau, những chi tiết đó mô tả một mô hình được dùng làm bộ chọn. Menu do tác giả của malware viết ra; Grok chọn từ đó, dùng bất cứ thứ gì nó có thể quan sát về máy bị nhiễm. Đường dự phòng quan trọng hơn lệnh gọi mô hình: một kẻ điều hành mất quyền truy cập API, hoặc bị thu hồi khóa, vẫn có một bot tự duy trì. Chặn lệnh gọi này chỉ làm suy giảm tính năng chứ không vô hiệu hóa malware.

Đó là điểm khác biệt mà kho lưu trữ nêu ra giữa x47.c và một mục lân cận từ ngày 22 tháng 9 năm 2026, ClosedQuorum, nơi một nhóm mô hình ngôn ngữ được mô tả là chính bộ não chỉ huy và điều khiển. Trong x47.c, mô hình nằm trong một mô-đun tùy chọn, thực hiện việc lựa chọn hành động và rút cạn tín dụng ở bên lề. Vai trò AI được xác nhận và mang tính hỗ trợ, không mang tính cấu trúc — đây cũng là lý do bản ghi có mức độ nghiêm trọng trung bình thay vì cao hơn.

Phần còn lại của bộ sản phẩm, và những điểm mà lời khẳng định của người bán vượt xa bằng chứng

Các tính năng AI chỉ là hai dòng trong một bảng giá dài hơn, còn các khả năng thông thường mới là phần chính tạo nên sản phẩm. SecurityWeek đưa tin rằng tab tấn công từ chối dịch vụ của bảng điều khiển phơi bày mười tám phương thức tấn công: lũ HTTP, rút cạn API AI, HTTP chậm, lũ TCP và UDP, một công cụ gây áp lực TLS, và nhiều kỹ thuật phản xạ và khuếch đại khác nhau.

Xung quanh đó là những thành phần khiến nó trở thành một botnet chứ không chỉ là một kịch bản tấn công. SecurityWeek đưa tin rằng trình đánh cắp (stealer) thu thập mật khẩu và cookie trình duyệt, token Discord, dữ liệu ví và token của các trang AI, cùng một mô-đun SOCKS5 chuyển tiếp lưu lượng qua các máy bị nhiễm, với việc kẻ vận hành có thể giám sát nhiều kết nối proxy và kiểm tra trạng thái hoạt động cùng thời gian chờ của chúng. Cấu hình fast-flux của người bán cung cấp sáu tên miền và tám địa chỉ IP trong tab quản lý, cùng các tùy chọn hostname và IP ưu tiên cho từng host — mặc dù, như Infosecurity Magazine lưu ý, một số tên miền trong số đó có thể trỏ đến cùng một máy chủ.

Kẻ vận hành cũng có thể tải xuống, cập nhật và gỡ bỏ phần mềm trên một máy chủ, và người bán quảng bá một mô-đun rootkit để loại bỏ các dấu vết của đối thủ khỏi những máy mà nó đã chiếm được. Chi tiết cuối cùng đó vừa là chi tiết kinh doanh vừa là chi tiết kỹ thuật: một botnet được bán kèm công cụ để trục xuất đối thủ là một sản phẩm đang bảo vệ cơ sở cài đặt của mình.

Không phải mọi thứ đều đứng vững. Infosecurity Magazine đưa tin rằng Qrator không tìm thấy kết quả kiểm thử nào chứng minh cho các chế độ vượt qua bảo vệ được quảng cáo. Tuyên bố của người bán và bằng chứng của người bán không phải là một, và báo cáo nói rõ điều đó ở những chỗ có thể.

Điều các nhà nghiên cứu khuyên những người phòng thủ nên làm

Không có bản vá nào trong câu chuyện này, vì không có lỗ hổng nào để vá. x47.c là mã độc phải bị loại bỏ khỏi các máy, và lời khuyên phòng thủ cũng chia theo hướng đó.

Đối với các tài khoản AI, Infosecurity Magazine đưa tin về các khuyến nghị của Qrator: thu hồi các khóa AI bị lộ, đối chiếu hóa đơn với mức sử dụng hợp lệ, và đặt giới hạn chi tiêu cùng các biện pháp kiểm soát đối với việc nạp tiền tự động. Mục cuối cùng đó là mục quan trọng nhất đối với tính năng drain, vì lời chào hàng của chính người bán phụ thuộc vào việc nạp tiền tự động vẫn tiếp tục làm phát sinh phí sau khi số dư đã cạn.

Đối với các endpoint, Qrator khuyến nghị dọn dẹp các máy bị nhiễm. Khuyến cáo của ThaiCERT bổ sung một danh sách giám sát khớp trực tiếp với những gì mô-đun AI Stealth báo cáo là đang thực hiện: mục khởi động trái phép, tác vụ theo lịch và các thay đổi đối với danh sách loại trừ của Windows Defender. Một tổ chức theo dõi ba thứ đó là đang theo dõi đúng những nơi mà mô-đun nói rằng nó ghi vào.

Đối với mạng, Qrator khuyến nghị bảo vệ chống tấn công từ chối dịch vụ ở cả lớp ứng dụng và lớp mạng — mà xét việc lưu lượng drain không bao giờ đi qua lớp ứng dụng, đó là biện pháp bảo vệ chống lại mười bảy phương thức khác chứ không phải chống lại drain.

Những gì hồ sơ chứng minh, và những gì hồ sơ không chứng minh

Kho lưu trữ ghi x47.c là một sự cố liên quan đến AI đã xảy ra ở mức độ nghiêm trọng trung bình, với độ tin cậy được xếp hạng A, không ghi nhận tranh chấp, đã xác nhận có sự tham gia của AI và không ghi nhận tổn hại thực tế. Các trường đó nhất quán với nhau khi xét đến nguồn gốc. Xếp hạng độ tin cậy mô tả một tuyên bố được ghi chép đầy đủ đến đâu, chứ không phải điều được mô tả đã xảy ra với ai hay chưa: ở đây việc ghi chép rất vững chắc vì một phòng nghiên cứu, hai tờ báo ngành và một CERT quốc gia đều mô tả cùng một quảng cáo bằng cùng những thuật ngữ. Không có gì trong chuỗi đó cho thấy một bot ngoài thực địa.

Những gì đã được xác lập: sản phẩm tồn tại dưới dạng một quảng cáo, với bảng giá có ghi ngày, một bảng điều khiển đã được tài liệu hóa, và hai tính năng AI mà hành vi của chúng được mô tả trong chính các thông báo trạng thái của người bán. Những gì chưa được xác lập: một nạn nhân duy nhất, một ca lây nhiễm duy nhất, một đô-la tín dụng bị rút sạch duy nhất, hay bất kỳ xác nhận nào rằng lệnh rút đã được chạy trên một tài khoản thực. Báo cáo không khẳng định điều ngược lại, và những người bán các bộ công cụ như vậy có lý do rõ ràng để phóng đại những gì họ có thể làm.

Luận điểm bền bỉ hơn thì nhỏ hơn tiêu đề. Một cuộc tấn công denial-of-wallet không cần botnet, một mô hình hay một lỗ hổng khai thác mới; nó chỉ cần một API key và một vòng lặp. Điều {{1}}x47.c{{/1}} bổ sung là cách đóng gói — công cụ rút cạn tiền được bán bên cạnh mười tám phương thức flood trên cùng một bảng điều khiển, nhắm đến cùng một người mua. Chính cách đóng gói đó biến một mối phiền toái có thể lập trình thành một khoản mục chi phí, và đó là phần của báo cáo này vẫn sẽ đúng sau khi những tuyên bố cụ thể về {{2}}Grok{{/2}} đã được kiểm chứng hay bị lãng quên.