Исследователи Varonis Threat Labs изучили новый троян удаленного доступа Dolphin X, операторы которого заявляют об использовании ИИ для профилирования жертв. Малварь анализирует собранные на зараженных компьютерах данные, ранжирует пользователей, присваивая им оценки, и помогает хакерам выбрать наиболее ценные цели.
Исследователи заметили рекламу Dolphin X на хак-форуме, где вредонос предлагался как универсальный RAT, а его продавец под ником Kontraktnik обещал покупателям панель управления с 329 функциями, разбитыми на десять категорий.
Особое внимание специалистов привлек модуль AI Profiler. По словам продавца, этот модуль профилирует пользователя — отслеживает использование приложений, рассчитывает уровень рисков и подготавливает ежедневные сводки по зараженным системам.
Исследователи объясняют, что модуль призван решать типичную для операторов инфостилеров проблему: малварь может похитить учетные данные сотен или тысяч аккаунтов, но довольно сложно вручную искать среди них что-либо ценное. AI Profiler автоматизирует сортировку: изучает используемые жертвами приложения, посещенные сайты, установленные программы и другие сведения, после чего распределяет пострадавших по категориям и формирует своеобразный рейтинг.
В ежедневных отчетах операторы малвари получают список приоритетных целей. Это могут быть машины, которые открывают доступ к корпоративным сетям, облачной инфраструктуре, продакшен-средам, ценным учетным записям или криптовалютным активам.
Специалисты рассказывают, что изучили панель управления Dolphin X в изолированной среде. В коде обнаружились строки Auto-Start AI Profiler, ProfilerStart, ProfilerGetData, risk_score, risk_factors и categoryusage. По мнению аналитиков, это свидетельствует о том, что механизм профилирования жертв действительно встроен в панель управления и способен обрабатывать данные, необходимые для ранжирования пострадавших.
Однако эксперты не заражали Dolphin X тестовую машину и ограничились анализом панели управления, билдера и сетевого трафика. Поэтому им не удалось выяснить, какая именно ИИ-модель используется для ранжирования жертв, и работает ли система так, как обещает продавец.
При этом Dolphin X позиционируется как полноценный стилер. Его авторы заявляют, что он способен похищать данные более чем из 300 приложений, включая девять браузеров на базе Chromium и Gecko, более 100 браузерных расширений для криптокошельков, 65 десктопных кошельков, 10 менеджеров паролей и более 30 облачных CLI-инструментов.
Также заявлено, что вредонос якобы похищает файлы .env, SSH-ключи, облачные токены, сохраненные в браузерах учетные данные, информацию криптокошельков и секреты разработчиков.
