Dolphin X bruger AI til at prioritere ofre og stjæler data fra over 300 applikationer

Ny malware kombinerer omfattende datatyveri, fjernadgang og AI-baseret profilering

En ny malware kaldet Delfin X er blevet identificeret af Varonis Threat Labs. Ifølge forskere kombinerer det informationstyveri og fjernadgangsfunktioner med AI-baseret profilering, der hjælper angribere med at identificere de mest værdifulde ofre. Værktøjet siges at være i stand til at indsamle følsomme oplysninger fra mere end 300 applikationer og er målrettet mod alt fra browsere og adgangskodeadministratorer til krypto-wallets, cloud-tjenester og udviklingsmiljøer.

Forskerne beskriver Delfin X som et eksempel på, hvordan cyberkriminelle i stigende grad bruger automatisering og kunstig intelligens til at strømline deres angreb. Målet er ikke kun at stjæle information, men også hurtigt at bestemme, hvilke inficerede systemer der vil give det største økonomiske udbytte.

• 

  EGET INDHOLD

  
  

• 

  REKLAME

  
  

• 

  SPONSORERET

  
  

• 

  REKLAME

  
  

Promoveret på fora for cyberkriminelle

Varonis trusselslabs opdaget Delfin X efter at værktøjet blev markedsført på et cyberkriminalitetsforum af en aktør med aliaset “Kontraktnik.” Ifølge annoncen tilbyder det en komplet platform til informationstyveri og fjernadgang, hvor angriberen kan oprette sine egne klienter med forskellige funktioner afhængigt af deres behov.

Forskerne analyserede operatørpanelet og dets netværkstrafik i et isoleret analysemiljø for bedre at forstå, hvordan platformen fungerer. Analysen fokuserede på administrationsværktøjerne og infrastrukturen bag tjenesten, ikke på en aktiv infektion af et offer.

Omfattende dataindsamling

En af de mest bemærkelsesværdige funktioner er omfanget af de oplysninger, der kan indsamles.

Ifølge Varonis støtter Delfin X indsamling fra over 300 forskellige applikationer. Blandt de data, der kan stjæles, er:

• Gemte browserlogin
• Sessionscookies
• Kryptovaluta-tegnebøger og tegnebogstilføjelser
• Adgangskodeadministrator
• SSH-nøgler
• .env-filer
• Cloud-tokens og legitimationsoplysninger
• DevOps-relaterede konfigurationsfiler

For udviklere og IT-administratorer udgør dette en særlig høj risiko. Lokalt lagrede legitimationsoplysninger og nøgler kan give angribere adgang til cloudplatforme, CI/CD-miljøer, produktionssystemer og anden kritisk infrastruktur.

Forskerne bemærker, at en enkelt kompromitteret arbejdsstation i nogle tilfælde kan give adgang til betydeligt større dele af en organisations IT-miljø.

AI bruges til at prioritere værdifulde ofre

En funktion, der især skiller sig ud, er den indbyggede AI-baserede profilering.

Operatørpanelet beskriver funktionen som et værktøj, der analyserer offerets installerede software, brugeradfærd og aktivitetsmønstre for at beregne en risiko- eller værdiscore. Resultaterne præsenteres i daglige opsummeringer, der giver angriberen mulighed for at prioritere, hvilke inficerede computere der skal scannes først.

I praksis fungerer systemet som et automatiseret prioriteringsværktøj. I stedet for manuelt at gennemgå tusindvis af inficerede computere, kan operatøren hurtigt identificere de systemer, der sandsynligvis indeholder de mest værdifulde data.

Ifølge Varonis Dette viser, hvordan AI i stigende grad bruges til at strømline cyberkriminalitet, ikke gennem mere avanceret malware, men ved at hjælpe angribere med at træffe hurtigere beslutninger.

Fjernkompilering og kodemutation

Forskerne beskriver også, hvordan Dolphin X er bygget.

I stedet for at oprette den færdige skadelige kode lokalt, sender operatøren sin konfiguration til leverandørens backend-server, hvor klienten kompileres. Konfigurationen kan omfatte:

• Kommando- og kontrolserver (C2)
• Installationssted
• Persistensmetoder
• Undgåelsesteknikker
• Andre funktioner, der skal aktiveres

Det betyder, at leverandøren har mulighed for at ændre hver oprettet binær fil, før den leveres tilbage til kunden.

Systemet tilbyder også flere niveauer af kodemutation, der har til formål at gøre hver enkelt indbygget klient vanskeligere at identificere med traditionelle signaturbaserede sikkerhedsprodukter. De beskrevne teknikker omfatter omskrivning af kontrolflows, ændringer i importtabeller og ændring af metadata og andre dele af PE-filen.

Selvom nogle funktioner kræver et højere abonnementsniveau, demonstrerer løsningen, hvordan kommercielt udviklet malware fortsat bliver mere og mere sofistikeret.

Fokus på adfærdsbaseret detektion

Varonis understreger, at traditionelle filsignaturer og hashværdier bliver mindre og mindre pålidelige, i takt med at malware løbende ændrer sig gennem automatiseret mutation.

I stedet anbefaler forskerne, at sikkerhedsteams fokuserer på adfærd, der afviger fra normen, såsom usædvanlige processer, mistænkelige skrivebordssessioner, uventede systemkald eller aktiviteter, der indikerer dataindsamling og -eksfiltrering.

Forskerne anbefaler også, at organisationer minimerer mængden af permanente legitimationsoplysninger, der gemmes lokalt. Hvis følsomme nøgler, tokens eller konfigurationsfiler gemmes på en kompromitteret computer, kan en angriber hurtigt få adgang til betydeligt større dele af organisationens infrastruktur.

Indikator	Type	Observeret funktion
backend.thedolphinx[.]top:8443	Vært og port	Bruges til licensering, telemetri og fjernbyggetjenesten.
delfinen[.]top	Domæne	Hoveddomænet for udbyderens backend-infrastruktur.
726e7fe23560fe03ea36163d5f510b494f41a78bf811c92ff219f64b4bfe2be0	SHA-256	SHA-256 hash til Dolphin X operatørpanelet (klientapplikation).

Kortlagt mod MITRE ATT&CK

Varonis har også forbundet sig Delfin X funktioner til flere teknikker i MITRE ATT&CK-rammen.

Blandt de identificerede teknologier er:

• Tyveri af browserdata
• Indsamling af legitimationsoplysninger fra adgangskodeadministratorer
• Tyveri af SSH-nøgler og godkendelsesfiler
• Arkivering af stjålne oplysninger
• Procesindsprøjtning
• UAC-omgåelse
• Persistens via registreringsdatabasen og planlagte opgaver
• Manipulation af sikkerhedsfunktioner såsom AMSI og ETW
• Forvirring og kodemutation
• Proxyfunktioner til netværkstrafik

Kortlægningen kan bruges af sikkerhedsteams til at forbedre detektion og hændelseshåndtering.

Teknik	MITRE ATT&CK ID	Beskrevet funktion
Loginoplysninger fra browseren	T1555.003	Indsamling af legitimationsoplysninger fra ni Chromium- og Gecko-baserede browsere ved hjælp af DPAPI-dekryptering.
Loginoplysninger til adgangskodeadministrator	T1555	Understøttelse af MetaMask-hvælvinger via PBKDF2 samt Exodus seed phrase via DPAPI.
Legitimationsoplysninger i filer	T1552.001	Tyveri af SSH-nøgler, .envfiler og over 30 forskellige cloud CLI-tokens.
Arkivering af indsamlede data	T1560	Indsamlede autentificeringsdata samles i et fælles arkiv med henblik på eksfiltrering.
Procesindsprøjtning	T1055	Kode injiceres i browser- og krypto-wallet-processer.
Omgåelse af brugerkontokontrol (UAC)	T1548.002	Otte forskellige metoder til at omgå Windows Brugerkontokontrol mellem launcher og værtproces.
Registreringsnøgler og startmappen	T1547.001	Persistens via registreringsdatabasenøgler eller Windows startmappe.
Planlagte opgaver	T1053.005	Persistens via planlagte opgaver i Windows.
Deaktivering eller manipulation af sikkerhedsfunktioner	T1562.001	Programrettelse af AMSI og ETW for at gøre detektion vanskeligere.
Native API	T1106	Direkte systemkald (syscalls) for at omgå API-hooks i brugertilstand.
Forvirrede filer eller oplysninger	T1027	Tretrinsmutationsmotor, der ændrer den ondsindede kode ved kompilering for at reducere risikoen for detektion.
Proxy	T1090	Indbygget SOCKS5-baseret reverse proxy-funktion til netværkstrafik.

AI ændrer også den måde, angribere arbejder på

Delfin X viser, at AI ikke længere kun bruges til at skabe indhold eller skrive kode. Teknologien bruges nu også til at automatisere dele af angribernes beslutningsprocesser.

Ved at kombinere omfattende dataindsamling med AI-baseret prioritering kan cyberkriminelle hurtigere identificere de mest profitable mål og fokusere deres ressourcer der, hvor de vil have den største effekt.

For organisationer betyder det, at beskyttelse af identiteter, legitimationsoplysninger og udviklingsmiljøer bliver stadig vigtigere. Samtidig er der et voksende behov for adfærdsovervågning, der kan opdage mistænkelig aktivitet, selv når den ondsindede kode ændrer sig mellem angreb.