สรุปสั้น

นักวิจัยจาก Qrator รายงานว่าพบผู้โจมตีรายหนึ่งกำลังขายการเข้าถึงบอตเน็ต Windows ตัวใหม่ที่อาศัย AI ในการคงการฝังตัวบนเครื่องที่ติดเชื้อ บอตเน็ตนี้มีชื่อว่า x47.c ถูกโฆษณาโดยผู้โจมตีที่ใช้ชื่อว่า WraithTools ว่ามีความสามารถโจมตีแบบ distributed denial-of-service (DDoS), ขโมย credential, ทำ SOCKS5 proxy และมีวิธีดูดเครดิต AI API จุดที่ทำให้บอตเน็ตนี้ต่างจากตัวอื่นคือการนำโมเดล AI มาใช้ทั้งในการเลือกวิธีฝังตัวและการโจมตีบัญชี AI ของเหยื่อโดยตรง

ในช่วงต้นเดือนสิงหาคม ผู้โจมตีเสนอขายแพ็กเกจพื้นฐานของบอตเน็ตในราคา 200 ดอลลาร์สหรัฐ และคิดเพิ่ม 150 ดอลลาร์สำหรับส่วนเสริม DDoS ส่วนแพ็กเกจ x47.c แบบเต็มที่มีความสามารถครบทั้งหมดตั้งราคาไว้ที่ 950 ดอลลาร์ ผู้ซื้อจะได้รับแผงควบคุม command-and-control (C&C) ที่ให้เข้าถึงการจัดการบอต, ตัวเลือกการตั้งค่า fast-flux, ล็อกของ information stealer, proxy, ความสามารถในการพรางตัว และตัวเลือกการโจมตี DDoS ทำให้ผู้ที่มีทักษะไม่มากก็สามารถสั่งการปฏิบัติการที่ซับซ้อนได้

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 26 กันยายน 2569 ว่า บริษัท Qrator ได้เผยแพร่รายงานวิเคราะห์บอตเน็ต x47.c โดยระบุว่าแท็บ DDoS บนแผงควบคุมให้เข้าถึงวิธีโจมตีถึง 18 รูปแบบ รวมถึง HTTP flood, การดูดเครดิต AI API, slow HTTP, TCP และ UDP flood, TLS stresser และเทคนิค reflection กับ amplification ต่าง ๆ ขณะที่วิธี HTTP, TCP และ UDP มุ่งทำให้ทรัพยากรและแบนด์วิดท์หมดลง แต่โหมด AI drain ถูกออกแบบมาเพื่อผลาญเครดิต AI ที่เหยื่อจ่ายเงินไปแล้วโดยเฉพาะ

Qrator อธิบายว่า ในโหมด AI drain ผู้ปฏิบัติการจะป้อนชื่อโมเดลและคีย์ API ที่ใช้งานได้จริงของบัญชีเป้าหมายบน OpenAI, xAI และ chat API ที่เข้ากันได้ เพื่อผลาญเครดิตหรือสร้างค่าใช้จ่าย เนื่องจากคำขอเหล่านั้นวิ่งตรงไปยังผู้ให้บริการ จึงไม่จำเป็นต้องผ่านแอปพลิเคชันของเหยื่อ ผลคือเว็บไซต์ของเหยื่อยังเข้าถึงได้ตามปกติ ขณะที่บัญชีที่อยู่เบื้องหลังฟีเจอร์ AI ของเว็บนั้นกลับถูกดูดเครดิตจนหมด นอกจากนี้ ผู้ดูแลบอตเน็ตระบุว่าใช้การตั้งค่า fast flux เพื่อรักษาการควบคุมเครื่องที่ติดเชื้อ โดยมีให้เลือก 6 โดเมนและ 8 IP address ในแท็บจัดการเฉพาะ พร้อมตัวเลือก hostname และ IP ที่ต้องการสำหรับแต่ละเครื่อง

ความสามารถและวิธีการทำงาน

x47.c มีโมดูล “AI stealth” สำหรับคงการฝังตัวบนระบบที่ติดเชื้อ ซึ่งโฆษณาว่าใช้ xAI Grok เลือกการกระทำจากรายการที่กำหนดไว้ล่วงหน้า เช่น การสร้าง startup entry และ scheduled task พร้อมความสามารถเสริมอย่าง process hollowing และการยกระดับสิทธิ์ Qrator อธิบายว่าผู้ปฏิบัติการเปิดใช้การเรียกเหล่านั้นด้วยการฝังคีย์ xAI ไว้ในตัว build ข้อความสถานะที่ระบบส่งกลับจะรายงานการเปลี่ยนแปลง startup, การซ่อมแซมการฝังตัว และการเพิ่มข้อยกเว้นให้ Windows Defender อีกทั้งยังแสดงการกระทำสำรองในเครื่อง (local fallback) เมื่อการเรียกโมเดลล้มเหลว ทำให้การดูแลรักษาการฝังตัวดำเนินต่อไปได้แม้ไม่ได้รับการตอบกลับจาก AI สำเร็จ

ผู้ปฏิบัติการสามารถเลือกเป้าหมาย DDoS ของบอต และสั่งดาวน์โหลด อัปเดต หรือลบซอฟต์แวร์ออกจากเครื่องได้ ผู้ดูแล x47.c ยังโปรโมตโมดูล rootkit สำหรับกำจัดร่องรอยของมัลแวร์คู่แข่งออกจากระบบที่ติดเชื้อ นอกจากนี้ผู้ปฏิบัติการยังใช้บอตเน็ตเก็บ credential จากเครื่องที่ติดเชื้อหรือใช้เป็นตัวรีเลย์ traffic ได้ โดย x47.c สามารถดูดรหัสผ่านและคุกกี้จากเบราว์เซอร์ของเหยื่อ ตลอดจนเก็บโทเคน Discord, ข้อมูลกระเป๋าเงินคริปโต และโทเคนของเว็บ AI ต่าง ๆ ส่วน traffic จะถูกรีเลย์ผ่านโมดูล SOCKS5 ซึ่งผู้ปฏิบัติการสามารถเฝ้าดูการเชื่อมต่อ proxy หลายรายการพร้อมตรวจสอบสถานะและ timeout ได้

ผลกระทบ

องค์กรและผู้ใช้ Windows ที่ติดเชื้อ x47.c ต้องเผชิญความเสี่ยงหลายชั้นพร้อมกัน ทั้งการถูกใช้เป็นกำลังในการโจมตี DDoS การถูกขโมย credential คุกกี้ โทเคน Discord และข้อมูลกระเป๋าเงินคริปโต ตลอดจนการถูกใช้เครื่องเป็น proxy สำหรับกิจกรรมผิดกฎหมายของผู้อื่น จุดที่แปลกใหม่และน่ากังวลเป็นพิเศษคือโหมดดูดเครดิต AI API ซึ่งเปลี่ยนคีย์ API ที่รั่วไหลให้กลายเป็นช่องทางสร้างความเสียหายทางการเงินโดยตรง เพราะค่าใช้จ่ายเกิดขึ้นที่ฝั่งผู้ให้บริการ AI โดยที่แอปของเหยื่อยังทำงานปกติ ทำให้เจ้าของบัญชีอาจไม่รู้ตัวจนกระทั่งเครดิตหมดหรือได้รับใบเรียกเก็บเงินก้อนโต การที่บอตเน็ตถูกขายเป็นบริการในราคาเพียงหลักร้อยดอลลาร์ยังทำให้ผู้โจมตีทักษะต่ำเข้าถึงความสามารถเหล่านี้ได้ง่าย ขยายวงผู้ที่สามารถก่อเหตุได้

คำแนะนำ

ผู้ดูแลระบบควรจัดการคีย์ AI API อย่างรัดกุมเหมือน credential สำคัญอื่น ๆ ทั้งการเก็บอย่างปลอดภัย การหมุนเวียนคีย์เป็นระยะ และการตั้งเพดานการใช้งาน (usage/spending limit) กับการแจ้งเตือนเมื่อมีการใช้ผิดปกติ เพื่อจำกัดความเสียหายหากคีย์รั่ว ควรเฝ้าระวังพฤติกรรมที่บ่งชี้การติดเชื้อ เช่น การเพิ่มข้อยกเว้นให้ Windows Defender, startup entry หรือ scheduled task ที่ผิดปกติ, process hollowing และ traffic ออกที่น่าสงสัยไปยัง proxy หรือ C&C นอกจากนี้ควรใช้โซลูชัน endpoint ที่ตรวจจับตามพฤติกรรม ปกป้องข้อมูลในเบราว์เซอร์และกระเป๋าเงินคริปโต และตรวจสอบบัญชีผู้ให้บริการ AI ว่ามีการเรียกใช้ที่ไม่คาดคิดหรือไม่

แหล่งอ้างอิง