Dolphin X: Ny AI-malware rangerer ofre efter rigdom

En ny type skadevare er dukket op på cyberkriminelles markeder, og den adskiller sig fra alt, vi hidtil har set: Dolphin X er en fjernadgangstrojaner (RAT), der reklamerer med en integreret AI-funktion, der sorterer og rangerer inficerede ofre efter, hvem der er mest værd at gå efter. Det er malware tilsat kunstig intelligens — og det ændrer angrebets logik fundamentalt.

Dolphin X er analyseret af sikkerhedsforskeren Daniel Kelley fra Varonis Threat Labs, der opdagede malwaren, mens han overvågede en cyberkriminel forum, hvor den blev aktivt markedsført.

Hvad er Dolphin X?

Dolphin X er et "all-in-one remote access trojan" — en type malware, der giver angribere fuld fjernadgang til et inficeret offers computer. Den er skabt til at stjæle legitimationsoplysninger, overvåge aktivitet og give adgang til alt fra bankoplysninger til corporate netværk.

Det, der adskiller Dolphin X fra hundredvis af andre RAT'er på markedet, er den funktion, som sælgeren med aliasset "Kontraktnik" kalder AI Profiler.

AI Profiler — malwarens hemmelighed

AI Profiler er Dolphin X's evne til at analysere de oplysninger, den indsamler fra hvert inficeret system, og omdanne dem til en prioriteret liste over ofre. I stedet for at lade angriberen manuelt gennemgå data fra tusindvis af inficerede maskiner, tager AI'en over og leverer daglige oversigter med ranglister over de mest værdifulde mål.

Ifølge operatørpanelet analyserer AI Profiler:

• Applikationsbrug: Hvilke programmer kører offeret? Er det enterprise-software, handelsplatforme, crypto-børser?
• Risikoscore og tags: En numerisk score der vurderer ofrets potentielle værdi for angriberne
• Browserdomæner: Hvilke hjemmesider besøger offeret — netbanker, kryptobørser, cloud-tjenester?
• Installeret software: En kortlægning af alt installeret software, der kan indikere adgang til værdifulde systemer

Resultatet er daglige sammenfatninger med ranglistede offerprofiler, der hjælper angriberne med at fokusere kræfterne på netop de ofre, der giver adgang til de mest værdifulde aktiver — hvad enten det er kryptovaluta, corporate netværk, cloud-miljøer eller produktionssystemer.

Tekniske strenge i malwarens kode bekræfter funktionaliteten: Kelley fandt strenge som Auto-Start AI Profiler, ProfilerStart, ProfilerGetData, risk_score, risk_factors og categoryusage i kildekoden.

Hvad stjæler Dolphin X?

Operatørpanelet reklamerer med support til over 300 applikationer fordelt på ti kategorier. Konkret er Dolphin X ifølge Kelley's analyse i stand til at målrette:

• 9 Chromium- og Gecko-baserede browsere — de fleste populære browsere, herunder Chrome, Firefox, Edge og Brave
• 100 kryptovaluta-wallet-udvidelser til browsere
• 65 desktop-kryptopunge — stationære wallet-applikationer
• 10 adgangskodeadministratorer — password managers som LastPass, 1Password og Bitwarden
• Mere end 30 cloud-kommandolinjeværktøjer — AWS CLI, Azure CLI, Google Cloud SDK og lignende

Ud over disse kategorier er malwaren designet til at stjæle:

• .env-filer, der ofte indeholder API-nøgler og databaser-adgangskoder
• SSH-nøgler til serveradgang
• Cloud-adgangstokens
• Browser-logindata
• Developer credentials — brugernavne og adgangskoder til udviklermiljøer

Det er vigtigt at understrege, at disse kapaciteter er annonceret i operatørpanelet og i malwarens kode, men at Kelley ikke har kunnet bekræfte dem alle ved live-eksempelanalyse. Der er altså en vis usikkerhed om, hvad der faktisk fungerer i praksis kontra hvad der markedsføres.

Et kriminelt produkt med 329 funktioner

Operatørpanelet for Dolphin X angiver 329 features fordelt på ti kategorier. Det er et antal, der vidner om, at dette ikke er amatørarbejde — Dolphin X er et professionelt cyberkriminelt produkt med en tilsvarende produktpræsentation.

Sælgeren "Kontraktnik" markedsførte trojaneren på det cyberkriminelle forum som en samlet løsning — et "alt-i-et"-redskab for angribere, der ønsker effektiv adgang til ofres systemer uden at skulle sy flere separate malware-komponenter sammen.

BleepingComputer har den fulde tekniske analyse af Dolphin X, herunder detaljer fra Varonis Threat Labs' undersøgelse.

Hvad betyder AI-integration i malware?

Dolphin X er ikke det første eksempel på, at cyberkriminelle bruger AI — men det er et af de mest konkrete eksempler på AI brugt til at prioritere ofre. Det er en logisk konsekvens af malwarens volumenbaserede forretningsmodel: Jo flere maskiner der inficeres, desto sværere er det for angriberne manuelt at gennemgå alle kompromitterede systemer.

Med en AI-profiler, der automatisk vurderer og rangerer ofre, kan en lille gruppe angribere effektivt administrere tusindvis af inficerede maskiner og fokusere deres tid og ressourcer på de ofre, der lover størst udbytte.

Det er i virkeligheden det samme princip, som legitime marketingvirksomheder bruger til at segmentere og prioritere potentielle kunder — bare vendt på hovedet til kriminelle formål.

BleepingComputers sikkerhedsnyheder dokumenterer den voksende tendens til AI-integrerede cybervåben, der optræder på kriminelle fora med stigende hyppighed.

Hvad kan man gøre?

For virksomheder og privatpersoner er Dolphin X en påmindelse om, at trusselsbilledet konstant udvikler sig. Konkret bør man:

• Aktivere multifaktorgodkendelse (MFA) på alle vigtige konti, herunder cloud-tjenester og kryptobørser
• Undgå at gemme API-nøgler og credentials i klartekst i .env-filer på systemer, der er forbundet til internettet
• Bruge adgangskodeadministratorer med browserintegration, men være opmærksom på at selv disse nu er på Dolphin X's liste over mål
• Holde software opdateret og anvende endpoint-løsninger, der er i stand til at opdage adfærdsbaserede trusler frem for blot kendte signaturer

Konklusion

Dolphin X repræsenterer en ny fase i cyberkriminalitet, hvor AI ikke bruges til at angribe systemer direkte, men til at sortere og prioritere ofre med kirurgisk præcision. Det gør selv massangreb mere effektive, fordi angriberne nu kan identificere og fokusere på de rigeste mål uden menneskelig gennemgang. Det er AI sat i kriminalskadens tjeneste — og det er et mønster, vi bør forvente at se meget mere til i de kommende år.