Dolphin X nutzt KI, um Opfer zu priorisieren und stiehlt Daten aus über 300 Anwendungen.

Ny skadlig kod kombinerar omfattande datastöld, fjärråtkomst och AI-baserad profilering

En ny skadlig kod kallad Dolphin X har identifierats av Varonis Threat Labs. Enligt forskarna kombinerar den funktioner för informationsstöld och fjärråtkomst med AI-baserad profilering som hjälper angripare att identifiera de mest värdefulla offren. Verktyget uppges kunna samla in känslig information från fler än 300 applikationer och riktar sig mot allt från webbläsare och lösenordshanterare till kryptoplånböcker, molntjänster och utvecklingsmiljöer.

Forskarna beskriver Dolphin X som ett exempel på hur cyberkriminella i allt större utsträckning använder automatisering och AI för att effektivisera sina angrepp. Målet är inte bara att stjäla information, utan även att snabbt avgöra vilka infekterade system som ger störst ekonomisk utdelning.

Marknadsförs på cyberkriminella forum

Varonis Threat Labs entdeckt Dolphin X efter att verktyget marknadsförts på ett cyberkriminellt forum av en aktör med aliaset “Kontraktnik”. Enligt annonsen erbjuds en komplett plattform för informationsstöld och fjärråtkomst, där angriparen kan skapa egna klienter med olika funktioner beroende på behov.

Forskarna analyserade operatörspanelen och dess nätverkstrafik i en isolerad analysmiljö för att bättre förstå hur plattformen fungerar. Analysen fokuserade på administratörsverktygen och infrastrukturen bakom tjänsten, inte på en aktiv infektion hos ett offer.

Omfattande datainsamling

En av de mest anmärkningsvärda egenskaperna är omfattningen av den information som kan samlas in.

Enligt Varonis stöder Dolphin X insamling från över 300 olika applikationer. Bland de uppgifter som kan stjälas finns:

• Sparade webbläsarinloggningar
• Sessionscookies
• Kryptovalutaplånböcker och plånbokstillägg
• Lösenordshanterare
• SSH-nycklar
• .env-filer
• Molntokens och autentiseringsuppgifter
• DevOps-relaterade konfigurationsfiler

För utvecklare och IT-administratörer innebär detta en särskilt hög risk. Lokalt lagrade autentiseringsuppgifter och nycklar kan ge angripare åtkomst till molnplattformar, CI/CD-miljöer, produktionssystem och annan kritisk infrastruktur.

Forskarna konstaterar att en enda komprometterad arbetsstation i vissa fall kan ge tillgång till betydligt större delar av en organisations IT-miljö.

AI används för att prioritera värdefulla offer

En funktion som särskilt sticker ut är den inbyggda AI-baserade profileringen.

I operatörspanelen beskrivs funktionen som ett verktyg som analyserar offrets installerade programvara, användarbeteenden och aktivitetsmönster för att beräkna en risk- eller värdepoäng. Resultatet presenteras i dagliga sammanställningar som gör det möjligt för angriparen att prioritera vilka infekterade datorer som ska granskas först.

I praktiken fungerar systemet som ett automatiserat prioriteringsverktyg. I stället för att manuellt gå igenom tusentals infekterade datorer kan operatören snabbt identifiera de system som sannolikt innehåller de mest värdefulla uppgifterna.

Entsprechend Varonis visar detta hur AI i allt större utsträckning används för att effektivisera cyberbrott, inte genom mer avancerad skadlig kod utan genom att hjälpa angripare att fatta snabbare beslut.

Fjärrkompilering och kodmutation

Forskarna beskriver även hur Dolphin X byggs upp.

I stället för att skapa den färdiga skadliga koden lokalt skickar operatören sin konfiguration till leverantörens backend-server där klienten kompileras. Konfigurationen kan bland annat innehålla:

• Kommando- och kontrollserver (C2)
• Installationsplats
• Persistensmetoder
• Undvikande tekniker
• Övriga funktioner som ska aktiveras

Det innebär att leverantören har möjlighet att modifiera varje skapad binärfil innan den levereras tillbaka till kunden.

Systemet erbjuder dessutom flera nivåer av kodmutation som syftar till att göra varje byggd klient svårare att identifiera med traditionella signaturbaserade säkerhetsprodukter. Bland de tekniker som beskrivs finns omskrivning av kontrollflöden, förändringar i importtabeller samt modifiering av metadata och andra delar av PE-filen.

Även om vissa funktioner kräver en högre abonnemangsnivå visar lösningen hur kommersiellt utvecklad skadlig kod fortsätter att bli allt mer sofistikerad.

Fokus på beteendebaserad upptäckt

Varonis betonar att traditionella filsignaturer och hashvärden blir allt mindre tillförlitliga när skadlig kod kontinuerligt förändras genom automatiserad mutation.

I stället rekommenderar forskarna att säkerhetsteam fokuserar på beteenden som avviker från det normala. Exempel kan vara ovanliga processer, misstänkta skrivbordssessioner, oväntade systemanrop eller aktiviteter som tyder på datainsamling och exfiltration.

Forskarna rekommenderar även att organisationer minimerar mängden långlivade autentiseringsuppgifter som lagras lokalt. Om känsliga nycklar, tokens eller konfigurationsfiler finns sparade på en komprometterad dator kan en angripare snabbt få tillgång till betydligt större delar av organisationens infrastruktur.

Kartläggs mot MITRE ATT&CK

Varonis har även kopplat Dolphin X funktioner till flera tekniker i MITRE ATT&CK-ramverket.

Bland de identifierade teknikerna finns:

• Stöld av webbläsaruppgifter
• Insamling av autentiseringsuppgifter från lösenordshanterare
• Stöld av SSH-nycklar och autentiseringsfiler
• Arkivering av stulen information
• Processinjektion
• UAC-förbikoppling
• Persistens via registret och schemalagda uppgifter
• Manipulering av säkerhetsfunktioner som AMSI och ETW
• Obfuskering och kodmutation
• Proxyfunktioner för nätverkstrafik

Kartläggningen kan användas av säkerhetsteam för att förbättra detektion och incidenthantering.

AI förändrar även angriparnas arbetssätt

Dolphin X visar att AI inte längre enbart används för att skapa innehåll eller skriva kod. Tekniken används nu också för att automatisera delar av angriparnas beslutsprocesser.

Genom att kombinera omfattande datainsamling med AI-baserad prioritering kan cyberkriminella snabbare identifiera de mest lönsamma målen och fokusera sina resurser där de ger störst effekt.

För organisationer innebär utvecklingen att skyddet av identiteter, autentiseringsuppgifter och utvecklingsmiljöer blir allt viktigare. Samtidigt ökar behovet av beteendebaserad övervakning som kan upptäcka misstänkta aktiviteter även när den skadliga koden förändras mellan olika attacker.