Cybersecurite
Le botnet x47.c vide les API d'IA
Un nouvel outil malveillant pour Windows nommé x47.c monétise des attaques DDoS, le pillage de jetons d'accès et l'épuisement direct des crédits d'API OpenAI et xAI, alerte l'entreprise de cybersécurité Qrator.
Par Inaya · rédaction IA
Le 26 septembre 2026, l'entreprise Qrator a documenté la vente par le cybercriminel WraithTools du botnet Windows x47.c, doté d'un module furtif piloté par l'IA Grok de xAI et d'une fonction de siphonnage de soldes d'API concurrentes.
Les cyberattaquants ne se contentent plus de saturer la bande passante d'un site web, ils attaquent directement les comptes des fournisseurs d'intelligence artificielle pour assécher le budget des entreprises sans bloquer leur vitrine en ligne. Ce mode opératoire impose aux équipes techniques de surveiller la consommation brute de leurs jetons applicatifs auprès des prestataires au lieu de surveiller uniquement l'état de leurs propres serveurs.
WraithTools lance un botnet Windows axé sur l'IA
Le cybercriminel WraithTools commercialise le botnet x47.c conçu spécifiquement pour compromettre des machines sous Windows et automatiser plusieurs types d'infractions numériques. Selon le rapport technique diffusé par SecurityWeek, ce logiciel malveillant sert à lancer des attaques par déni de service distribué, à relayer du trafic via des proxys SOCKS5, à piller des identifiants et à maintenir sa persistance sur les hôtes infectés grâce à un module dénommé AI stealth. Les acheteurs disposent d'un panneau de commande complet qui centralise la gestion des machines infectées, la surveillance de l'état des proxys, les journaux d'extraction de données et une configuration de fast-flux reposant sur six domaines et huit adresses IP pour protéger l'infrastructure de commandement. Cette combinaison d'outils simplifie les campagnes criminelles de grande ampleur, ce qui contraint les administrateurs de parcs informatiques à auditer immédiatement la configuration des postes de travail bureautiques exposés et à vérifier leurs règles de filtrage DNS.
Le modèle Grok pilote le maintien sur l'hôte
Le botnet x47.c utilise le modèle d'intelligence artificielle Grok de la société xAI pour déterminer automatiquement la méthode de persistance la plus adaptée sur le système ciblé. Pour faire fonctionner ce module furtif, le pirate renseigne une clé d'accès xAI directement dans le binaire d'infection, laissant le grand modèle de langage piocher dans une liste prédéfinie d'actions comme l'ajout de tâches planifiées, la modification des clés de registre de démarrage ou la création d'exclusions dans Windows Defender. L'analyse publiée par Qrator montre que le panneau génère des messages d'état sur ces réglages système et intègre des commandes locales de repli afin d'assurer la survie du logiciel espion même lorsque la requête envoyée au modèle distant échoue. Cette automatisation réduit les erreurs d'exécution des attaquants novices et oblige les équipes de défense opérationnelle à durcir la politique de modification des listes blanches de l'antivirus Windows.
L'attaque par drainage consomme les crédits sans bloquer l'hôte
Le panneau de contrôle propose 18 méthodes d'attaque par déni de service, dont une fonction spécifique baptisée AI API draining conçue pour dilapider les forfaits prépayés des victimes. L'assaillant fournit le nom d'un modèle ainsi qu'une clé valide liée à un compte OpenAI, xAI ou à toute interface de discussion compatible, puis le botnet envoie des vagues de requêtes automatisées. Ces appels se dirigent directement vers les serveurs de l'opérateur d'intelligence artificielle au lieu de traverser l'infrastructure réseau de la cible, ce qui permet au site web de la victime de rester parfaitement en ligne pendant que son compte applicatif subit des facturations massives ou se retrouve bloqué pour solde épuisé. Cette tactique transforme un outil classique de saturation réseau en arme de préjudice financier direct, incitant les gestionnaires d'API à imposer des plafonds stricts de consommation journalière sur l'ensemble de leurs clés de production.
WraithTools facture le paquet complet 950 $
La suite logicielle complète x47.c s'échange contre 950 $, tandis que les fonctions de base étaient proposées au prix de départ de 200 $ au début du mois d'août. Les assaillants pouvaient également faire l'acquisition du module d'attaque DDoS seul pour 150 $, avant d'opter éventuellement pour le rootkit optionnel capable d'éliminer les malwares concurrents déjà installés sur les machines compromises. Ce modèle tarifaire d'accès à la carte permet à des opérateurs isolés de déployer des capacités autrefois réservées à des groupes spécialisés, sans nécessiter d'expertise en développement logiciel. Face à cette accessibilité financière, les responsables de la sécurité opérationnelle doivent anticiper une multiplication des tentatives de vol de jetons d'accès applicatifs et de portefeuilles numériques sur les ordinateurs des collaborateurs.
- 950 $ prix du forfait complet du botnet x47.c proposé par WraithTools Qrator / SecurityWeek 2026-09-26
Comme ces requêtes vont directement au fournisseur, elles n'ont pas besoin de traverser l'application de la victime. Le site web peut rester accessible pendant que le compte derrière ses fonctionnalités d'IA épuise ses crédits.
Le recours au modèle Grok pour contourner les protections locales dépend de la présence d'une clé API valide de xAI fournie par le pirate lors de la génération du binaire, ce qui expose l'attaquant à une révocation de son propre compte ou à une panne de connectivité vers le modèle.
Pour une petite entreprise ou un indépendant utilisant des fonctionnalités d'IA via des clés OpenAI ou xAI, l'obligation immédiate est de se connecter à la console de son fournisseur d'API pour fixer un plafond de dépense strict et révoquer toute clé stockée en clair dans des navigateurs ou fichiers de configuration de postes Windows non protégés.
Comment le botnet x47.c vole-t-il les jetons d'API ?
Le logiciel intègre un module d'extraction d'identifiants qui siphonne les mots de passe et les cookies dans les navigateurs web de la machine infectée, ainsi que les jetons Discord, les données de portefeuilles et les identifiants de sites d'IA.
En quoi consiste la fonction AI stealth basée sur Grok ?
Le botnet transmet des requêtes au modèle Grok de xAI pour décider de la manière de s'ancrer dans le système, par exemple en créant des tâches planifiées ou en ajoutant des exclusions automatiques dans Windows Defender.
Pourquoi une attaque de drainage d'API ne fait-elle pas tomber les serveurs ?
Les requêtes sont expédiées directement depuis les machines infectées vers les serveurs des fournisseurs comme OpenAI ou xAI sans transiter par l'application de la cible, consommant les crédits payés sans saturer la bande passante locale.
- WraithTools commercialise le botnet x47.c à partir de 200 $ et jusqu'à 950 $ pour l'ensemble des fonctionnalités.
- Le logiciel s'appuie sur le modèle xAI Grok pour orchestrer sa persistance et configurer des exclusions dans Windows Defender.
- L'attaque par drainage vide les comptes d'API d'IA directement chez les fournisseurs sans bloquer l'infrastructure de la victime.