x47.c：一款出售中的Windows僵尸网络，耗尽AI额度并向Grok询问如何隐藏

2026年9月23日，Qrator Research Labs发布了对x47.c的分析，这是一个由自称WraithTools的威胁行为者出售的Windows僵尸网络，其命令面板宣传十八种拒绝服务方法、凭据窃取、SOCKS5中继以及两项基于AI构建的功能。其中一项是“AI API drain”，它会获取有效的OpenAI、xAI或兼容API密钥，并在受害者自己的网站保持在线的情况下，直接在服务提供商处花掉受害者的额度。另一项是“AI Stealth”，它会询问xAI的Grok，要对受感染主机采取一组固定持久化和隐蔽操作中的哪些。该研究来自卖家的广告、文档和面板截图，而非来自观察到的实际部署：其中没有出现任何受害者、感染数量或损失数字。本记述来自Orca AI Incident Archive中的一条记录，该档案将x47.c归类为中等严重性事件，标记为武器和凭据窃取案例，标明AI参与已确认，并记录未造成现实世界危害。

Qrator 发布了什么，以及它没有观察到什么

Qrator Research Labs 是一家网络安全厂商的研究团队，其报告是有关 x47.c 的每一篇报道背后的唯一主要文件。Infosecurity Magazine 于9月23日报道了该报告，称其调查结果取自卖家的广告、技术文档、面板截图和后续消息。SecurityWeek 于9月26日跟进报道，描述了相同的依据。两家媒体均未报道感染事件、可指名的受害者、流量样本，或经实验室分析过的找回样本。

这则广告本身标注的日期是8月3日。据SecurityWeek称，卖家为基础套餐报价200美元，并为拒绝服务附加组件要价150美元，整个x47.c套餐定价为950美元。Infosecurity Magazine将该价格区间描述为200至950美元，其中最高套餐增加了凭据窃取、代理和AI辅助持久化功能。

对这些说法最有用的独立核查来自泰国的国家计算机应急响应团队，而不是另一家安全厂商。ThaiCERT于2026年9月28日发布了一份英文公告，称“其中许多能力基于卖方发布的文档和说法，其在真实攻击中的有效性尚未得到充分验证。”然而，该公告并非独立测试，也没有声称自己是独立测试：其自身的来源标注指向SecurityWeek的文章。这是一个国家CERT在转述一份厂商报告，这有力地表明该报告已被阅读并受到认真对待，但并不能证明有人复现了该恶意软件。

这里必须把一点局限记录在案。2026年10月26日，本机无法抓取 Qrator 自己的页面；该主机返回的是授权验证质询，而非文章内容。因此，本文中对 Qrator 的每一处直接引语，均按 SecurityWeek 和 Infosecurity Magazine 刊印的内容照录，读者也应据此理解。

AI API 耗尽：一种让网站屹立不倒的攻击

在面板的拒绝服务标签页中，除了传统的洪泛方法外，还有那个引人注目的功能。SecurityWeek 将其描述为：操作者提供模型名称，以及目标账户在 OpenAI、xAI 或兼容聊天 API 上的有效 API 密钥，随后机器人会发送可计费的请求。Infosecurity Magazine 将同一条命令描述为获取有效 API 密钥，并直接向提供商发送重复的可计费请求。

这个机制值得关注，因为它正是用 Web 防火墙难以应对该攻击的原因。正如 SecurityWeek 所引述的 Qrator 的解释：“由于这些请求直接发往提供商，因此无需经过受害者的应用程序。网站可以保持可访问，而其 AI 功能背后的账户却会耗尽额度。”Infosecurity Magazine 补充了 Qrator 的观点，即在网站层面过滤流量无法阻止这些请求，并指出 OWASP 将这类攻击称为“钱包拒绝服务”（denial of wallet）。

Qrator 既描述了这套推销话术，也描述了其技术手法。《Infosecurity Magazine》报道称，卖家将该方法推销用于攻击聊天机器人、与 AI 连接的内容管理系统、交易机器人和扫描器，包括作为一项可用于对付竞争对手的服务，并指出自动充值是在余额用尽后让费用继续累积的一种方式。攻击给受害者造成多少损失，取决于该账户允许多少额外支出。

有两个限定条件可以让这件事保持客观比例，而两者都来自 Qrator。第一，僵尸网络并非严格必需：任何持有有效密钥的人都可以编写脚本发动同样的攻击。第二，耗尽功能和凭据窃取器并未被证明是相互连接的。该窃取器将 AI 站点令牌列为其目标之一，但《Infosecurity Magazine》报道称，相关文档并未显示这些令牌会被转化为用于耗尽命令的 API 密钥。这两项能力并排存在于同一个产品中；从被盗令牌到被耗尽账户之间的链条并未被记录。

AI Stealth：是选择者，而非命令者

第二个 AI 功能是新闻标题重点宣传的那个，也是两者中较为不起眼的一个。SecurityWeek 引用了 Qrator 的描述：“操作者通过在构建中包含 xAI 密钥来启用这些调用。所提供的状态消息会报告启动更改、持久化修复以及 Windows Defender 排除项。它们还展示了当模型调用失败时的本地回退操作，使主机维护能够在没有成功获得 AI 响应的情况下继续。”

Infosecurity Magazine 直言不讳地指出：该模块使用 xAI 的 Grok 评估受感染主机，并从预定义的持久化和隐蔽操作中进行选择。SecurityWeek 补充说，这些操作包括启动项和计划任务，此外还提供可选的进程镂空和权限提升能力。

综合来看，这些细节描述的是一个被用作选择器的模型。菜单由恶意软件作者编写；Grok 会根据它能观察到的关于主机的任何信息从中进行选择。回退路径比模型调用更重要：即使操作者失去对 API 的访问权限，或其密钥被吊销，其机器人仍能自我维持。阻止该调用会削弱该功能，但不会使恶意软件失效。

档案在 x47.c 与 2026 年 9 月 22 日的相邻条目 ClosedQuorum 之间划出了这一区别：在 ClosedQuorum 中，语言模型专家组被描述为指挥控制大脑本身。而在 x47.c 中，模型位于一个可选模块内，在旁侧执行动作选择与信用消耗。AI 的角色已确认，且属于辅助性而非结构性——这也是该记录带有中等严重性而非更高级别的原因。

套件的其余部分，以及卖家的说法在哪些方面超出了证据

AI 功能只是更长价目表中的两行，而该产品主要由传统能力构成。SecurityWeek 报道称，该面板的拒绝服务标签页列出了十八种攻击方法：HTTP 洪水、AI API 耗尽、慢速 HTTP、TCP 和 UDP 洪水、TLS 压力测试器，以及各种反射和放大技术。

围绕这些的是使其成为僵尸网络而非攻击脚本的各个部分。SecurityWeek 报道称，该窃取程序会收集浏览器密码和 Cookie、Discord 令牌、钱包数据以及 AI 网站令牌，还有一个 SOCKS5 模块可通过受感染机器中继流量，操作者能够监控多个代理连接并检查其健康状态和超时情况。卖家的 fast-flux 配置在其管理标签页中提供六个域名和八个 IP 地址，以及针对单个主机的首选主机名和 IP 选项——不过，正如 Infosecurity Magazine 所指出的，其中多个域名可以指向同一台服务器。

操作员还可以在主机上下载、更新和删除软件，而卖家则推销一款 rootkit 模块，用于从已被其接管的机器中清除竞争对手的残留物。最后这一点既是技术细节，也是商业细节：一个附带用于驱逐竞争对手工具的僵尸网络，就是一个在捍卫其已感染设备群的产品。

并非所有说法都站得住脚。Infosecurity Magazine 报道称，Qrator 没有发现任何测试结果支持其宣传的防护绕过模式。卖家的说法和卖家的证据并不是一回事，报道在能够指出这一点的地方也这样说了。

研究人员告诉防御者该做什么

这个故事里没有补丁，因为没有什么漏洞需要打补丁。x47.c 是必须从主机上清除的恶意软件，防御建议也按这条界线分成两类。

对于 AI 账户，Infosecurity Magazine 报道了 Qrator 的建议：撤销已泄露的 AI 密钥，对照合法使用情况核查账单，并为自动充值设置消费限额与管控措施。最后一项对“榨干”功能而言最为关键，因为卖家自己的推销说辞正是依赖充值机制，让余额耗尽后仍持续产生费用。

对于终端，Qrator 建议清理受感染的机器。ThaiCERT 的安全公告补充了一份监控清单，该清单直接对应 AI Stealth 模块报告其执行的操作：未经授权的启动项、计划任务，以及对 Windows Defender 排除项的更改。一个监控这三类事项的组织，正是在监控该模块声称会写入的位置。

对于网络，Qrator 建议在应用层和网络层都部署拒绝服务防护——鉴于 drain 流量从不经过应用层，这实际上是对其他十七种方法的防护，而不是对 drain 的防护。

记录确立了什么，以及没有确立什么

档案将 x47.c 记录为一起已发生的、中等严重程度的 AI 相关事件，置信度评为 A，无争议记录，AI 参与已确认，且未记录到实际伤害。只要将来源情况纳入考量，这些字段彼此就是一致的。置信度等级描述的是某项说法的记录充分程度，而不是所描述的事情是否曾发生在任何人身上：这里的记录之所以有力，是因为一家研究实验室、两家行业媒体和一个国家 CERT 都以相同措辞描述了同一则广告。这条证据链中没有任何内容表明实地部署了机器人。

已确认的是：该产品以广告形式存在，配有标注日期的价目表、有文档记录的面板，以及两项 AI 功能，其行为在卖家自己的状态消息中有所描述。尚未确认的是：任何一名受害者、任何一次感染、任何一美元被耗尽的信用额度，或任何能证明清空指令已针对真实账户运行过的确认。报告并未作出此类声称，而此类工具的卖家显然有理由夸大其能力。

更耐久的要点，其实没有标题那么耸动。钱包耗尽攻击不需要僵尸网络、不需要模型，也不需要什么新奇的漏洞利用；它只需要一个 API 密钥和一个循环。x47.c 所增添的是打包方式——把这种榨干式手法与十八种洪泛方法并排摆在同一块面板上出售，瞄准的是同一类买家。正是这种打包，把一个可用脚本搞定的麻烦事变成账本上的一行开支；而这也是本报告中在关于 Grok 的具体说法被验证或被遗忘之后，依然成立的那部分。