Dolphin X nutzt KI, um Opfer zu priorisieren und stiehlt Daten aus über 300 Anwendungen.

Neue Schadsoftware kombiniert umfassenden Datendiebstahl, Fernzugriff und KI-basierte Profilerstellung.

Eine neue Schadsoftware namens Dolphin X Varonis Threat Labs hat eine neue Sicherheitslücke entdeckt. Laut Forschern kombiniert das Tool Datendiebstahl und Fernzugriff mit KI-basierter Profilerstellung, die Angreifern hilft, die wertvollsten Opfer zu identifizieren. Es soll sensible Informationen aus über 300 Anwendungen sammeln können und zielt auf alles ab, von Browsern und Passwortmanagern bis hin zu Krypto-Wallets, Cloud-Diensten und Entwicklungsumgebungen.

Die Forscher beschreiben Dolphin X Dies ist ein Beispiel dafür, wie Cyberkriminelle zunehmend Automatisierung und KI einsetzen, um ihre Angriffe zu optimieren. Ziel ist es nicht nur, Informationen zu stehlen, sondern auch schnellstmöglich zu ermitteln, welche infizierten Systeme den größten finanziellen Gewinn versprechen.

In Cyberkriminellenforen beworben

Varonis Threat Labs entdeckt Dolphin X Nachdem das Tool in einem Cyberkriminalitätsforum von einem Akteur mit dem Alias “Kontraktnik” beworben wurde, bietet es laut Anzeige eine komplette Plattform für Informationsdiebstahl und Fernzugriff, auf der Angreifer je nach Bedarf eigene Clients mit unterschiedlichen Funktionen erstellen können.

Die Forscher analysierten das Bedienfeld und dessen Netzwerkverkehr in einer isolierten Analyseumgebung, um die Funktionsweise der Plattform besser zu verstehen. Die Analyse konzentrierte sich auf die Administrationswerkzeuge und die Infrastruktur des Dienstes, nicht auf eine aktive Infektion eines Opfers.

Umfangreiche Datenerfassung

Eine der bemerkenswertesten Eigenschaften ist der Umfang der Informationen, die gesammelt werden können.

Laut Varonis unterstützt Dolphin X Datensammlung aus über 300 verschiedenen Anwendungen. Zu den Daten, die gestohlen werden können, gehören:

• Gespeicherte Browser-Logins
• Sitzungscookies
• Kryptowährungs-Wallets und Wallet-Add-ons
• Passwortmanager
• SSH-Schlüssel
• .env-Dateien
• Cloud-Token und Anmeldeinformationen
• DevOps-bezogene Konfigurationsdateien

Für Entwickler und IT-Administratoren stellt dies ein besonders hohes Risiko dar. Lokal gespeicherte Anmeldeinformationen und Schlüssel können Angreifern Zugriff auf Cloud-Plattformen, CI/CD-Umgebungen, Produktionssysteme und andere kritische Infrastrukturen ermöglichen.

Die Forscher weisen darauf hin, dass eine einzelne kompromittierte Workstation in manchen Fällen Zugang zu wesentlich größeren Teilen der IT-Umgebung einer Organisation ermöglichen kann.

KI wird eingesetzt, um wertvolle Opfer zu priorisieren.

Ein besonders hervorzuhebendes Merkmal ist die integrierte KI-basierte Profilerstellung.

Das Bedienfeld beschreibt die Funktion als ein Tool, das die installierte Software, das Nutzerverhalten und die Aktivitätsmuster des Opfers analysiert, um einen Risiko- oder Wertwert zu berechnen. Die Ergebnisse werden in täglichen Zusammenfassungen dargestellt, die es dem Angreifer ermöglichen, die zu scannenden infizierten Computer zu priorisieren.

In der Praxis fungiert das System als automatisiertes Priorisierungstool. Anstatt Tausende infizierter Computer manuell zu überprüfen, kann der Bediener schnell die Systeme identifizieren, die wahrscheinlich die wertvollsten Daten enthalten.

Entsprechend Varonis Dies zeigt, wie KI zunehmend zur Optimierung von Cyberkriminalität eingesetzt wird, nicht durch ausgefeiltere Schadsoftware, sondern indem sie Angreifern hilft, schnellere Entscheidungen zu treffen.

Remote-Kompilierung und Code-Mutation

Die Forscher beschreiben auch, wie Dolphin X gebaut ist.

Anstatt den fertigen Schadcode lokal zu erstellen, sendet der Angreifer seine Konfiguration an den Backend-Server des Anbieters, wo der Client kompiliert wird. Die Konfiguration kann Folgendes umfassen:

• Kommando- und Kontrollserver (C2)
• Installationsort
• Persistenzmethoden
• Vermeidungstechniken
• Weitere zu aktivierende Funktionen

Dies bedeutet, dass der Lieferant die Möglichkeit hat, jede erstellte Binärdatei zu modifizieren, bevor sie an den Kunden zurückgeliefert wird.

Das System bietet zudem mehrere Stufen der Code-Mutation, die darauf abzielen, jeden erstellten Client mit herkömmlichen signaturbasierten Sicherheitsprodukten schwerer identifizierbar zu machen. Zu den beschriebenen Techniken gehören das Umschreiben von Kontrollflüssen, Änderungen an Importtabellen sowie die Modifizierung von Metadaten und anderen Teilen der PE-Datei.

Obwohl für einige Funktionen ein höheres Abonnementniveau erforderlich ist, zeigt die Lösung, wie kommerziell entwickelte Malware immer ausgefeilter wird.

Schwerpunkt auf verhaltensbasierter Erkennung

Varonis betont, dass traditionelle Dateisignaturen und Hashwerte immer unzuverlässiger werden, da sich Malware durch automatische Mutation ständig verändert.

Stattdessen empfehlen die Forscher, dass sich Sicherheitsteams auf Verhaltensweisen konzentrieren, die von der Norm abweichen, wie etwa ungewöhnliche Prozesse, verdächtige Desktop-Sitzungen, unerwartete Systemaufrufe oder Aktivitäten, die auf Datensammlung und -exfiltration hindeuten.

Die Forscher empfehlen Unternehmen außerdem, die Menge an lokal gespeicherten, persistenten Anmeldeinformationen zu minimieren. Werden sensible Schlüssel, Token oder Konfigurationsdateien auf einem kompromittierten Computer gespeichert, kann ein Angreifer schnell Zugriff auf wesentlich größere Teile der Infrastruktur des Unternehmens erlangen.

Abgeglichen mit MITRE ATT&CK

Varonis hat auch Verbindungen hergestellt Dolphin X Funktionen für mehrere Techniken im MITRE ATT&CK-Framework.

Zu den identifizierten Technologien gehören:

• Diebstahl von Browserdaten
• Sammlung von Anmeldeinformationen aus Passwortmanagern
• Diebstahl von SSH-Schlüsseln und Authentifizierungsdateien
• Archivierung gestohlener Informationen
• Prozessinjektion
• UAC-Umgehung
• Persistenz über die Registry und geplante Aufgaben
• Manipulation von Sicherheitsfunktionen wie AMSI und ETW
• Verschleierung und Code-Mutation
• Proxy-Funktionen für Netzwerkverkehr

Die Kartierung kann von Sicherheitsteams genutzt werden, um die Erkennung und das Vorfallsmanagement zu verbessern.

KI verändert auch die Arbeitsweise von Angreifern

Dolphin X Dies zeigt, dass KI nicht mehr nur zur Erstellung von Inhalten oder zum Schreiben von Code eingesetzt wird. Die Technologie wird nun auch verwendet, um Teile der Entscheidungsprozesse von Angreifern zu automatisieren.

Durch die Kombination von umfangreicher Datenerfassung mit KI-gestützter Priorisierung können Cyberkriminelle die profitabelsten Ziele schneller identifizieren und ihre Ressourcen dort konzentrieren, wo sie die größte Wirkung erzielen.

Für Unternehmen bedeutet dies, dass der Schutz von Identitäten, Zugangsdaten und Entwicklungsumgebungen immer wichtiger wird. Gleichzeitig wächst der Bedarf an Verhaltensüberwachung, die verdächtige Aktivitäten auch dann erkennen kann, wenn sich der Schadcode zwischen den Angriffen ändert.