SecAtor

Новый троян Dolphin X использует функцию профилирования на основе ИИ для оценки и ранжирования зараженных пользователей, помогая операторам определять, каких жертв следует атаковать в первую очередь. Аналитику провели исследователи Varonis Threat Labs, обнаружившие, что Dolphin X рекламируется в даркнете неким Kontraktnik, позиционирующим его как универсальный RAT. По данным Varonis, в панели оператора представлено 329 функций в десяти категориях, включая функцию кражи учетных данных, которая, как утверждается, нацелена на более чем 300 приложений. Однако одной из его примечательных особенностей является «поведенческий профайлер на основе ИИ», который анализирует информацию, собранную с зараженных компьютеров, и присваивает каждой жертве оценку значимости. Varonis удалось получить доступ к панели управления Dolphin X и проанализировать её в изолированной лаборатории. При этом исследователи изучали билдер вредоносного ПО и его сетевой трафик, но не запускали работающий агент Dolphin X на зараженном компьютере. Стилеры, позволяют злоумышленникам красть учетные данные сотен, если не тысяч, онлайн-аккаунтов, что затрудняет ручную проверку всех этих данных на предмет выявления особо важных целей. Система AI Profiler от Dolphin X автоматизирует этот процесс, выступая в роли сортировочной системы, которая оценивает, классифицирует и ранжирует зараженные компьютеры, чтобы злоумышленники знали, какие из них представляют наибольшую ценность для дальнейшей атаки. В панели управления оператора утверждается, что AI Profiler способен обрабатывать данные об использовании приложений жертвами, оценках и тегах риска, доменах браузеров и установленном ПО для создания ранжированных профилей. Оценки предоставляются злоумышленникам в ежедневных сводках, содержащих ранжированные профили жертв, что позволяет расставлять приоритеты в отношении машин, которые могут предоставлять доступ к ценным учетным записям, крипте, корпоративным сетям, облачным средам или производственным системам. В ходе анализа Varonis обнаружила технические строки, поддерживающие процесс профилирования, включая Auto-Start AI Profiler, ProfilerStart, ProfilerGetData, risk_score, risk_factors и categoryusage. Однако не смогли определить, какой механизм ИИ используется для составления рейтингов, без анализа действующего образца вредоносного ПО Dolphin X. Вредоносная ПО также действует как стилер, и, судя по панели управления, нацелена на более чем 300 приложений, включая 9 браузеров Chromium и Gecko, 100 расширений для криптокошельков, 65 настольных криптокошельков, 10 менеджеров паролей и более 30 облачных инструментов командной строки. Dolphin X также крадет .env файлы, SSH-ключи, токены доступа к облаку, данные для входа в браузер, информацию о криптокошельках и другие учетные данные разработчиков. Поскольку Varonis анализировала панель оператора Dolphin X, конструктор и связанный с ними сетевой трафик, а не работающий на зараженной машине образец вредоносного ПО, заявленные возможности сбора данных этим вредоносным ПО не были независимо подтверждены. В целом, ИИ стал популярным инструментом среди злоумышленников, его используют для запуска таких киберпреступных сервисов, как SpamGPT, и для проведения почти автономных кибератак с помощью агентов ИИ. В свою очередь, Dolphin X использует ИИ для решения операционной проблемы, обрабатывая большие объемы украденных данных и автоматически сортируя зараженных пользователей по категориям наиболее ценных жертв.