新型 Dolphin X 恶意软件利用 AI 对高价值目标进行评分排名

一种名为 Dolphin X 的新型远程访问木马声称使用 AI 驱动的用户画像功能，对受感染用户进行评分和排名，帮助网络犯罪分子识别哪些受害者应被优先攻击。

该恶意软件由 Varonis Threat Labs 研究员 Daniel Kelley 分析，他发现该恶意软件在一个网络犯罪论坛上被一名使用别名"Kontraktnik"的卖家推广，宣传为一款一体化的远程访问木马。

根据 Varonis 的说法，操作面板列出了横跨十个类别的 329 项功能，包括一个声称针对 300 多个应用程序的凭据窃取功能。

然而，其显著功能之一是"AI Profiler"，它分析从受感染计算机收集的信息，并为每个受害者分配一个风险评分。

"除了凭据收集之外，面板还包括一个包含 AI Profiler 的监视选项卡。卖家将其描述为'具有应用使用跟踪、风险评分和每日摘要的 AI 行为画像工具'，"Varonis 解释道。

Varonis 获取了 Dolphin X 操作面板并在隔离实验室中进行了分析，他们指出，他们检查了恶意软件构建器及其网络流量，而不是在受感染的计算机上执行实时的 Dolphin X 代理。

AI Profiler 为攻击者对受害者进行排名

凭据窃取恶意软件可以让攻击者窃取数百甚至数千个在线账户的凭据，这使得手动审查所有账户以寻找高价值目标变得困难。

Dolphin X 的 AI Profiler 声称通过充当一个排序系统来自动化这一过程，该系统对受感染的计算机进行评分、分类和排名，以便攻击者知道哪些计算机具有最高价值，值得进一步攻击。

操作面板声称，AI Profiler 可以处理受害者的应用程序使用情况、风险评分和标签、浏览器域名以及已安装的软件，以生成排名画像。

这些评分以每日摘要的形式提供给攻击者，其中包含排名后的受害者画像，使他们能够优先处理那些可能提供对有价值账户、加密货币、企业网络、云环境或生产系统访问权限的计算机。

"实际上，该功能似乎旨在帮助操作者对受害者进行分类，"Kelley 解释道。

Varonis 研究员 Daniel Kelley 向 BleepingComputer 确认，AI Profiler 存在于操作面板中，并发现了支持画像工作流程的技术字符串，包括 Auto-Start AI Profiler、ProfilerStart、ProfilerGetData、risk_score、risk_factors 和 categoryusage。

该研究员表示，这些字符串表明画像工作流程确实被包含在内，并且面板可以处理对受害者进行排名所需的数据。

然而，Varonis 无法在不分析实时 Dolphin X 恶意软件样本的情况下确定用于生成排名的人工智能引擎。

该恶意软件还充当凭据窃取器，操作面板显示其针对 300 多个应用程序，包括 9 个 Chromium 和 Gecko 浏览器、100 个加密货币钱包扩展、65 个桌面加密货币钱包、10 个密码管理器以及超过 30 个云命令行工具。

Dolphin X 还声称窃取 .env 文件、SSH 密钥、云访问令牌、浏览器登录数据、加密货币钱包信息以及其他开发者凭据。

由于 Varonis 分析的是 Dolphin X 操作面板、构建器及相关网络流量，而非在受感染机器上执行的实时恶意软件样本，因此该恶意软件声称的收集能力并未得到研究人员的独立确认。

人工智能已成为威胁行为者中的热门工具，被用于发起 SpamGPT 等网络犯罪服务以及进行自主网络攻击的 AI 智能体。

而 Dolphin X 平台则利用 AI 解决运营问题，通过处理大量被盗数据，自动将受感染用户分类为最高价值的受害者。