Dolphin X bruger AI til at prioritere ofre og stjæler data fra over 300 applikationer

Ny malware kombinerer omfattende datatyveri, fjernadgang og AI-baseret profilering

En ny malware kaldet Delfin X er blevet identificeret af Varonis Threat Labs. Ifølge forskere kombinerer det informationstyveri og fjernadgangsfunktioner med AI-baseret profilering, der hjælper angribere med at identificere de mest værdifulde ofre. Værktøjet siges at være i stand til at indsamle følsomme oplysninger fra mere end 300 applikationer og er målrettet mod alt fra browsere og adgangskodeadministratorer til krypto-wallets, cloud-tjenester og udviklingsmiljøer.

Forskerne beskriver Delfin X som et eksempel på, hvordan cyberkriminelle i stigende grad bruger automatisering og kunstig intelligens til at strømline deres angreb. Målet er ikke kun at stjæle information, men også hurtigt at bestemme, hvilke inficerede systemer der vil give det største økonomiske udbytte.

Promoveret på fora for cyberkriminelle

Varonis trusselslabs opdaget Delfin X efter at værktøjet blev markedsført på et cyberkriminalitetsforum af en aktør med aliaset “Kontraktnik.” Ifølge annoncen tilbyder det en komplet platform til informationstyveri og fjernadgang, hvor angriberen kan oprette sine egne klienter med forskellige funktioner afhængigt af deres behov.

Forskerne analyserede operatørpanelet og dets netværkstrafik i et isoleret analysemiljø for bedre at forstå, hvordan platformen fungerer. Analysen fokuserede på administrationsværktøjerne og infrastrukturen bag tjenesten, ikke på en aktiv infektion af et offer.

Omfattende dataindsamling

En af de mest bemærkelsesværdige funktioner er omfanget af de oplysninger, der kan indsamles.

Ifølge Varonis støtter Delfin X indsamling fra over 300 forskellige applikationer. Blandt de data, der kan stjæles, er:

• Gemte browserlogin
• Sessionscookies
• Kryptovaluta-tegnebøger og tegnebogstilføjelser
• Adgangskodeadministrator
• SSH-nøgler
• .env-filer
• Cloud-tokens og legitimationsoplysninger
• DevOps-relaterede konfigurationsfiler

For udviklere og IT-administratorer udgør dette en særlig høj risiko. Lokalt lagrede legitimationsoplysninger og nøgler kan give angribere adgang til cloudplatforme, CI/CD-miljøer, produktionssystemer og anden kritisk infrastruktur.

Forskerne bemærker, at en enkelt kompromitteret arbejdsstation i nogle tilfælde kan give adgang til betydeligt større dele af en organisations IT-miljø.

AI bruges til at prioritere værdifulde ofre

En funktion, der især skiller sig ud, er den indbyggede AI-baserede profilering.

Operatørpanelet beskriver funktionen som et værktøj, der analyserer offerets installerede software, brugeradfærd og aktivitetsmønstre for at beregne en risiko- eller værdiscore. Resultaterne præsenteres i daglige opsummeringer, der giver angriberen mulighed for at prioritere, hvilke inficerede computere der skal scannes først.

I praksis fungerer systemet som et automatiseret prioriteringsværktøj. I stedet for manuelt at gennemgå tusindvis af inficerede computere, kan operatøren hurtigt identificere de systemer, der sandsynligvis indeholder de mest værdifulde data.

Ifølge Varonis Dette viser, hvordan AI i stigende grad bruges til at strømline cyberkriminalitet, ikke gennem mere avanceret malware, men ved at hjælpe angribere med at træffe hurtigere beslutninger.

Fjernkompilering og kodemutation

Forskerne beskriver også, hvordan Dolphin X er bygget.

I stedet for at oprette den færdige skadelige kode lokalt, sender operatøren sin konfiguration til leverandørens backend-server, hvor klienten kompileres. Konfigurationen kan omfatte:

• Kommando- og kontrolserver (C2)
• Installationssted
• Persistensmetoder
• Undgåelsesteknikker
• Andre funktioner, der skal aktiveres

Det betyder, at leverandøren har mulighed for at ændre hver oprettet binær fil, før den leveres tilbage til kunden.

Systemet tilbyder også flere niveauer af kodemutation, der har til formål at gøre hver enkelt indbygget klient vanskeligere at identificere med traditionelle signaturbaserede sikkerhedsprodukter. De beskrevne teknikker omfatter omskrivning af kontrolflows, ændringer i importtabeller og ændring af metadata og andre dele af PE-filen.

Selvom nogle funktioner kræver et højere abonnementsniveau, demonstrerer løsningen, hvordan kommercielt udviklet malware fortsat bliver mere og mere sofistikeret.

Fokus på adfærdsbaseret detektion

Varonis understreger, at traditionelle filsignaturer og hashværdier bliver mindre og mindre pålidelige, i takt med at malware løbende ændrer sig gennem automatiseret mutation.

I stedet anbefaler forskerne, at sikkerhedsteams fokuserer på adfærd, der afviger fra normen, såsom usædvanlige processer, mistænkelige skrivebordssessioner, uventede systemkald eller aktiviteter, der indikerer dataindsamling og -eksfiltrering.

Forskerne anbefaler også, at organisationer minimerer mængden af permanente legitimationsoplysninger, der gemmes lokalt. Hvis følsomme nøgler, tokens eller konfigurationsfiler gemmes på en kompromitteret computer, kan en angriber hurtigt få adgang til betydeligt større dele af organisationens infrastruktur.

Kortlagt mod MITRE ATT&CK

Varonis har også forbundet sig Delfin X funktioner til flere teknikker i MITRE ATT&CK-rammen.

Blandt de identificerede teknologier er:

• Tyveri af browserdata
• Indsamling af legitimationsoplysninger fra adgangskodeadministratorer
• Tyveri af SSH-nøgler og godkendelsesfiler
• Arkivering af stjålne oplysninger
• Procesindsprøjtning
• UAC-omgåelse
• Persistens via registreringsdatabasen og planlagte opgaver
• Manipulation af sikkerhedsfunktioner såsom AMSI og ETW
• Forvirring og kodemutation
• Proxyfunktioner til netværkstrafik

Kortlægningen kan bruges af sikkerhedsteams til at forbedre detektion og hændelseshåndtering.

AI ændrer også den måde, angribere arbejder på

Delfin X viser, at AI ikke længere kun bruges til at skabe indhold eller skrive kode. Teknologien bruges nu også til at automatisere dele af angribernes beslutningsprocesser.

Ved at kombinere omfattende dataindsamling med AI-baseret prioritering kan cyberkriminelle hurtigere identificere de mest profitable mål og fokusere deres ressourcer der, hvor de vil have den største effekt.

For organisationer betyder det, at beskyttelse af identiteter, legitimationsoplysninger og udviklingsmiljøer bliver stadig vigtigere. Samtidig er der et voksende behov for adfærdsovervågning, der kan opdage mistænkelig aktivitet, selv når den ondsindede kode ændrer sig mellem angreb.