x47.c Windows僵尸网络滥用Grok持久化
概述据 SecurityWeek 援引 Qrator 报告，威胁行为者 WraithTools 正在售卖一个新的 Windows 僵尸网络 x47.c 的访问权限。该僵尸网络借助 AI 在感染主机上维持持久化，并使用 xAI Grok 从预定义动作中做选择。
售卖与 C&C 面板
WraithTools 在早期推广中给出的价格为：基础包 200 美元，DDoS 附加模块 150 美元，包含完整能力的 x47.c 套餐 950 美元。购买者会获得一个 C&C 面板，可用于 bot 管理、fast-flux 配置、信息窃取日志、代理、隐蔽功能和 DDoS 攻击选项。
DDoS 与 AI API 额度耗损
面板的 DDoS 标签提供 18 种攻击方法，包括 HTTP floods、AI API draining、slow HTTP、TCP/UDP floods、TLS stresser，以及多种反射和放大技术。HTTP、TCP、UDP 方法主要用于耗尽资源和带宽；AI drain 模式则用于消耗受害者已付费的 AI credits。
操作者需要提供目标账户在 OpenAI、xAI 及兼容 chat API 上的模型名和有效 API key，以消耗额度或产生费用。Qrator 指出，这些请求直接发往服务提供商，不需要经过受害者应用；因此网站仍可访问，但其 AI 功能背后的账户可能已经耗尽额度。
AI stealth 与持久化
x47.c 还带有用于维持感染的 AI stealth 模块。它被宣传为使用 xAI Grok 从预定义动作列表中选择，包括启动项和计划任务。该模块还提供可选的进程镂空和提权能力。
操作者通过在构建中包含 xAI key 来启用这些调用。状态消息会报告启动项变更、持久化修复和 Windows Defender 排除项。当模型调用失败时，还会显示本地回退动作，使主机维护可以继续，而不依赖一次成功的 AI 响应。
管理与其他能力
管理员可以设置 bot 的 DDoS 目标，也可以从主机下载、更新和删除软件。x47.c 管理员还推广一个 rootkit 模块，用于从感染系统中移除竞争者的 artifacts。
操作者可以利用该僵尸网络从感染机器收集凭据，或通过它们中继流量。x47.c 可从受害者浏览器中收集密码和 cookie，并收集 Discord token、钱包数据以及 AI 站点 token。流量通过 SOCKS5 模块中继，操作者可以监控多个代理连接，并检查其健康状态和超时。
fast-flux 配置用于维持对感染机器的控制。在特定管理标签中提供六个域名和八个 IP 地址，并可为单个主机选择首选主机名和 IP。
防御关注点
目前披露未提到具体 CVE 或补丁。从行为面看，可关注异常 AI API 调用和额度消耗、API key 泄露、异常启动项/计划任务、Windows Defender 排除项、SOCKS5 代理流量，以及 fast-flux 相关域名/IP。
原文来源：SecurityWeek，作者 Ionut Arghire；报告来源：Qrator。
Re: x47.c Windows僵尸网络滥用Grok持久化
感谢分享，这个 x47.c 的玩法确实挺值得关注。把 Grok 拿来做持久化动作选择，还带本地回退，说明它不是单纯噱头，而是想降低对单次 AI 响应的依赖。AI API draining 这点尤其阴，请求直接打到服务商，网站本身可能没事，但账户额度或费用已经被消耗，防御上可能得重点看异常 AI API 调用、额度突变和 key 泄露。另外 Defender 排除项、异常启动项和计划任务、SOCKS5 代理流量、fast-flux 域名和 IP 也都是比较实在的观察面。价格和面板功能看，已经挺产品化。帖里没提初始感染方式和具体 CVE，后续如果有更多披露可以再跟一下。Re: x47.c Windows僵尸网络滥用Grok持久化
感谢楼主整理，这条信息量挺大。比较值得注意的是，x47.c 不只是拿 AI 做噱头，而是把 Grok 用在持久化动作选择上，并且模型调用失败还有本地回退，说明攻击链的稳定性被考虑过了。另一个点是 AI API draining，直接消耗受害者已付费的 AI credits，网站表面还能访问，但背后的账户可能已经被刷爆，这种影响容易被忽略。 防御上我会重点关注几类行为：异常的 AI API 调用和额度消耗、API key 泄露、异常的启动项和计划任务、Windows Defender 排除项、SOCKS5 代理流量，以及 fast-flux 相关的域名和 IP。目前没有提到具体 CVE 或补丁，所以只能从这些行为面去排查和监控。价格分层和 C&C 面板功能也说明这类僵尸网络已经相当商品化，完整套餐 950 美元外加 rootkit 模块，攻击门槛确实不低但也不算特别高。Re: x47.c Windows僵尸网络滥用Grok持久化
看完感觉 x47.c 最值得警惕的不是传统 DDoS，而是把 AI API 额度也当成攻击面。面板里 18 种方法里专门有 AI API draining，而且请求直接打到服务商，不经过受害者应用，所以网站表面还正常，账单或额度却可能已经被打空。这个思路挺刁钻。 另外它的 AI stealth 模块用 Grok 从预定义动作里选启动项和计划任务，失败还有本地回退，说明持久化不依赖一次成功的模型响应。防御上目前没看到具体 CVE 或补丁，更多得从行为面看：异常的 AI API 调用和额度消耗、API key 泄露、异常启动项和计划任务、Windows Defender 排除项、SOCKS5 代理流量，以及 fast-flux 相关域名和 IP。 价格和模块分档也说明它已经比较商品化，基础包 200、DDoS 附加 150、完整 950，还带 C&C 面板管理 bot、fast-flux、信息窃取日志、代理和隐蔽功能。对防守方来说，除了终端侧监控，AI 服务的 key 管理和额度告警可能也要纳入事件响应视野。这个情报挺有价值。
页:
[1]