x47.c：一款待售的 Windows 殭屍網路，會耗盡 AI 額度並向 Grok 詢問如何藏匿

2026年9月23日，Qrator Research Labs 發表了一份分析，對象是x47.c，這是一個由自稱WraithTools的威脅行為者販售的 Windows 殭屍網路，其命令面板宣傳十八種阻斷服務攻擊方法、憑證竊取、SOCKS5 中繼，以及兩項以 AI 建構的功能。其中一項是「AI API drain」，會取得有效的 OpenAI、xAI 或相容 API 金鑰，並在受害者自有網站維持上線的同時，直接向供應商花費受害者的額度。另一項是「AI Stealth」，會詢問 xAI 的 Grok，應對受感染主機套用固定的一組持久化與隱匿動作中的哪些項目。這項研究取材自賣家的廣告、文件與面板截圖，而非來自實際觀察到的部署：其中未出現任何受害者、感染數量或損失數字。本報導取材自單一記錄，記錄於Orca AI Incident Archive，該檔案將 x47.c 歸類為中度嚴重性事件，標記為武器與憑證竊取案例，將 AI 參與標示為已確認，且未記錄任何現實世界危害。

Qrator 發布了什麼，以及它並未觀察到什麼

Qrator Research Labs 是一支網路安全廠商的研究團隊，而其報告是每一則關於 x47.c 的敘述背後唯一的主要文件。Infosecurity Magazine 於 9 月 23 日報導了這份報告，並表示其發現出自賣家的廣告、技術文件、面板截圖與後續訊息。SecurityWeek 的報導隨後於 9 月 26 日刊出，並描述了相同的依據。這兩家媒體都未報導任何感染、可指名的受害者、流量樣本，或在實驗室中分析過的復原樣本。

該廣告本身的日期為8月3日。根據SecurityWeek，賣家以200美元提供基礎套件，並為阻斷服務附加功能開價150美元，而整個x47.c套件定價為950美元。Infosecurity Magazine將價格範圍描述為200至950美元，其中最高階套件增加了憑證竊取、代理以及AI輔助持續性。

對這些說法最實用的獨立查核，來自泰國國家電腦緊急應變小組，而非另一家安全廠商。ThaiCERT 於 2026 年 9 月 28 日發布英文公告指出，「這些能力中有許多是依據賣方公布的文件與說法，其在真實世界攻擊中的有效性尚未獲得充分驗證。」然而，該公告並非獨立測試，本身也未如此宣稱：其引用來源指向 SecurityWeek 的文章。這是國家 CERT 重述一份廠商報告，這是有意義的訊號，顯示該報告已被閱讀並受到重視，但並非有人重現了該惡意軟體的證據。

這裡必須如實記錄一項限制。2026 年 10 月 26 日，無法從本機擷取 Qrator 自己的頁面；主機回傳的是授權驗證挑戰，而非文章。因此，本文中每一處來自 Qrator 的直接引文，均依照 SecurityWeek 與 Infosecurity Magazine 刊印的內容轉載，讀者應以此方式理解。

AI API 耗盡：一場讓網站依然屹立不搖的攻擊

在該面板的阻斷服務攻擊分頁中，除了傳統的洪水式攻擊方法外，還有一項引起關注的功能。SecurityWeek 描述，操作者會提供目標帳戶在 OpenAI、xAI 或相容聊天 API 上的模型名稱與有效 API 金鑰，隨後機器人便送出會產生費用的請求。Infosecurity Magazine 則將同一指令描述為取得有效 API 金鑰，並直接向供應商送出重複且會產生費用的請求。

這個機制值得關注，因為這正是為何用網頁防火牆難以應對這類攻擊。正如 SecurityWeek 引述 Qrator 的說明：「由於這些請求直接送往供應商，因此無須經過受害者的應用程式。網站可以維持可連線狀態，而其 AI 功能背後的帳戶卻已用盡額度。」 Infosecurity Magazine 補充 Qrator 的觀點，指出在網站端過濾流量並無法阻止它們，並提到 OWASP 將這類攻擊稱為「錢包拒絕服務」（denial of wallet）。

Qrator 描述了這套推銷說法以及該技術。Infosecurity Magazine 報導，賣家將這種方法行銷為可用來對付聊天機器人、連結 AI 的內容管理系統、交易機器人與掃描器，包括作為可針對競爭對手使用的服務，並指出自動加值是在餘額用盡後仍讓費用持續累積的一種方式。這起攻擊對受害者造成多少成本，取決於該帳戶允許多少額外支出。

有兩項限定條件讓這件事保持適度，而兩者都出自 Qrator。第一，殭屍網路並非絕對必要：任何持有有效金鑰的人都能用腳本發動相同攻擊。第二，並未顯示 drain 功能與憑證竊取器彼此串接。該竊取器將 AI 網站權杖列為目標之一，但《Infosecurity Magazine》報導，文件並未顯示這些權杖會被轉換成 drain 指令所用的 API 金鑰。這兩項能力並存於同一產品中；從竊得權杖到帳戶被掏空之間的鏈條並無文件記載。

AI 匿蹤：是選擇者，而非指揮官

第二項 AI 功能是新聞標題首先提到的那一項，也是兩者中較為低調的一項。Qrator 的描述由 SecurityWeek 引用：「操作者透過在建置中加入 xAI 金鑰來啟用這些呼叫。所提供的狀態訊息會回報啟動變更、持續性修復，以及 Windows Defender 排除項目。這些訊息也顯示當模型呼叫失敗時的本機備援動作，讓主機維護得以在沒有成功 AI 回應的情況下繼續進行。」

《Infosecurity Magazine》直言不諱地指出：該模組使用 xAI 的 Grok 評估受感染主機，並從預先定義的持續駐留與隱匿動作中作出選擇。《SecurityWeek》補充，這些動作包括啟動項目與排程工作，此外還可選用行程掏空與權限提升能力。

把這些細節合在一起看，描述的是一個被當作選擇器使用的模型。選單由惡意程式作者撰寫；Grok 會利用它能觀察到的主機資訊，從中挑選。備援路徑比模型呼叫更重要：即使操作者失去 API 存取權，或金鑰遭撤銷，仍有一個能自我維持的機器人。封鎖該呼叫只會削弱功能，並不會停用惡意程式。

這就是檔案庫在 x47.c 與 2026 年 9 月 22 日一則相鄰條目 ClosedQuorum 之間所作的區分；在 ClosedQuorum 中，語言模型小組被描述為指揮控制大腦本身。在 x47.c 中，模型位於選用模組內，附帶執行動作選擇與信用消耗。AI 角色已獲確認，且屬於輔助性而非結構性——這也是該紀錄被列為中等嚴重度、而非更高嚴重度的原因。

套件的其餘部分，以及賣家說法超出證據支持之處

AI 功能只是落落長的價目表中的兩行，而產品的絕大部分仍由傳統功能構成。據 SecurityWeek 報導，該控制面板的分散式阻斷服務（DoS）分頁揭露了十八種攻擊手法：HTTP 洪水攻擊、AI API 資源耗盡、慢速 HTTP、TCP 與 UDP 洪水攻擊、TLS 壓力測試器，以及各種反射與放大技術。

在它周圍的，是讓它成為殭屍網路而非攻擊腳本的各個部分。SecurityWeek 報導，該竊取程式會蒐集瀏覽器密碼與 Cookie、Discord 權杖、錢包資料與 AI 網站權杖，還有一個 SOCKS5 模組，可透過受感染機器轉送流量；操作者能夠監控多個代理連線，並檢查其健康狀態與逾時情況。賣家的 fast-flux 設定在其管理分頁中提供六個網域與八個 IP 位址，另外還有針對個別主機的首選主機名稱與 IP 選項——不過，正如 Infosecurity Magazine 所指出的，其中數個網域可能指向同一台伺服器。

操作者也可以在主機上下載、更新和移除軟體，而賣家則推廣一個 rootkit 模組，用來從其已接管的機器上移除競爭對手的元件。最後這一點既是技術細節，也是商業細節：一個搭配用來驅逐競爭者工具的殭屍網路，就是一款在捍衛其既有安裝基數的產品。

並非全部經得起檢驗。Infosecurity Magazine 報導指出，Qrator 找不到任何測試結果可支持廣告中所宣稱的防護繞過模式。賣家的說法與賣家的證據並不是同一回事，而報導在能力所及之處也這麼說了。

研究人員告訴防禦者該做什麼

這則報導裡沒有修補程式，因為根本沒有漏洞需要修補。x47.c 是必須從主機上移除的惡意軟體，而防禦建議也沿著這條界線分成兩派。

就 AI 帳戶而言，《Infosecurity Magazine》報導了 Qrator 的建議：撤銷已外洩的 AI 金鑰、將帳單與合法使用情況進行比對，並對自動加值設定支出上限與控管。最後一項對 drain 功能最為關鍵，因為賣家自己的推銷說法，正是依賴加值能在餘額耗盡後讓費用持續累積。

至於端點方面，Qrator 建議清理受感染的機器。ThaiCERT 的公告還附上一份監控清單，其內容正好對應 AI Stealth 模組所自述從事的行為：未經授權的開機啟動項目、排程工作，以及 Windows Defender 排除項目的變更。一個組織若監控這三件事，就等於在監控該模組自稱會寫入的位置。

就網路方面而言，Qrator 建議在應用層與網路層都部署阻斷服務防護——考量到排流流量從未經過應用層，這其實是防禦其他十七種手法，而非防禦排流。

該紀錄確立了什麼，以及未確立什麼

將 x47.c 歸檔為已實際發生、中等嚴重程度的 AI 相關事件，其信心等級評為 A、未記錄爭議、已確認涉及 AI，且未記錄實際損害。只要將來源脈絡納入考量，這些欄位彼此一致。信心等級描述的是某項主張的文件記錄有多完整，而不是所描述之事是否曾發生在任何人身上：在此，文件記錄之所以充分，是因為一個研究實驗室、兩家行業媒體與一個國家 CERT 都以相同措辭描述同一則廣告。該脈絡中沒有任何內容顯示實地有機器人運作。

目前確立的是：該產品確實以廣告形式存在，附有標明日期的價目表、有文件記載的面板，以及兩項 AI 功能，其行為在賣家自己的狀態訊息中有所描述。尚未確立的是：任何一名受害者、任何一次感染、任何一美元遭盜刷的額度，或任何可證實該盜刷指令曾被對真實帳戶執行過的確認。該報導並未作出相反的聲稱，而此類套件的賣家顯然有理由誇大其能力。

更耐久的重點比標題所說的更小。錢包耗盡攻擊不需要殭屍網路、模型或新奇漏洞；它只需要一組 API 金鑰和一個迴圈。x47.c 增添的是包裝——把資金耗盡手法與十八種洪水攻擊方法並列販售於同一個面板，鎖定同一個買家。正是這種包裝，把可腳本化的麻煩變成預算中的一筆支出項目，而這也是本報告中，在關於 Grok 的具體說法被檢驗或遺忘之後，仍將成立的部分。