พบ x47.c บอตเน็ต Windows พันธุ์ใหม่ ใช้ AI Grok คุมเครื่องเหยื่อ

ผู้เชี่ยวชาญด้านความปลอดภัยจาก Qrator ตรวจพบผู้ประสงค์ร้ายประกาศขายสิทธิ์เข้าถึงบอตเน็ตบน Windows ตัวใหม่ที่นำเทคโนโลยี AI มาช่วยในการคงสถานะการยึดเครื่อง (persistence) บนระบบที่ติดเชื้อ

บอตเน็ตดังกล่าวถูกตั้งชื่อว่า x47.c พัฒนาโดยกลุ่มที่ใช้ชื่อว่า WraithTools โดยมีความสามารถหลากหลาย ทั้งการโจมตีแบบ distributed denial-of-service (DDoS), การขโมยข้อมูลระบุตัวตน (credential theft), การเป็น SOCKS5 proxies และฟีเจอร์เด่นคือการสูบเครดิต AI API (AI API drain)

สำหรับราคาจำหน่ายเริ่มต้นที่ 200 ดอลลาร์สำหรับแพ็กเกจพื้นฐาน และเพิ่มอีก 150 ดอลลาร์หากต้องการส่วนเสริม DDoS แต่หากต้องการฟีเจอร์ครบถ้วนทั้งหมดของ x47.c ราคาจะขยับขึ้นไปอยู่ที่ 950 ดอลลาร์ โดยผู้ซื้อจะได้รับแผงควบคุม Command-and-Control (C&C) เพื่อจัดการบอตแบบครบวงจร

ในส่วนของแท็บ DDoS บนแผงควบคุม มีวิธีการโจมตีให้เลือกถึง 18 วิธี เช่น HTTP floods, slow HTTP, TCP และ UDP floods รวมถึงเทคนิค reflection และ amplification ต่างๆ แต่สิ่งที่น่าสนใจคือโหมด AI drain ซึ่งมุ่งเป้าไปที่การใช้เครดิต AI แบบชำระเงินของเหยื่อให้หมดลง

ผู้ควบคุมบอตเพียงแค่ใส่ชื่อโมเดลและ API key ที่ถูกต้องของบัญชี OpenAI, xAI หรือ API อื่นๆ ที่เข้ากันได้ เพื่อสร้างภาระค่าใช้จ่ายหรือสูบเครดิตจนเกลี้ยง เนื่องจากคำขอจะถูกส่งตรงไปยังผู้ให้บริการโดยไม่ผ่านตัวแอปพลิเคชันของเหยื่อ ทำให้เว็บไซต์เป้าหมายยังเข้าใช้งานได้ปกติแต่ฟีเจอร์ AI จะใช้งานไม่ได้เพราะเครดิตหมด

นอกจากนี้ x47.c ยังมีโมดูล "AI stealth" สำหรับรักษาการเข้าถึงระบบที่ติดเชื้อ โดยระบุว่าใช้ xAI Grok ในการเลือกการดำเนินการจากรายการที่กำหนดไว้ เช่น การตั้งค่า startup หรือ scheduled tasks รวมถึงมีความสามารถในการทำ process hollowing และการยกระดับสิทธิ์ (privilege escalation)

Qrator อธิบายเพิ่มเติมว่า ผู้ควบคุมสามารถใส่คีย์ xAI ไว้ในตัวบิลด์เพื่อเปิดใช้งานฟีเจอร์นี้ โดยระบบจะรายงานสถานะการซ่อมแซมการคงสถานะและการตั้งค่าข้อยกเว้นใน Windows Defender ทั้งยังมีระบบสำรอง (local fallback) หากโมเดล AI ทำงานล้มเหลว เพื่อให้บอตเน็ตยังคงทำงานต่อไปได้

ในด้านการขโมยข้อมูล x47.c สามารถเก็บรหัสผ่านและคุกกี้จากเบราว์เซอร์ รวมถึงรวบรวม Discord tokens, ข้อมูลกระเป๋าเงินดิจิทัล (wallet data) และโทเค็นของเว็บไซต์ AI ต่างๆ โดยผู้ดูแลระบบยังอ้างว่ามีโมดูล rootkit ที่สามารถลบร่องรอยของมัลแวร์คู่แข่งออกจากเครื่องเหยื่อได้อีกด้วย