Когато заразените устройства станат твърде много, за да се извърши ръчен подбор на целите, хакерите се нуждаят от начин бързо да подберат най-ценните от тях, а новият троянец за отдалечен достъп Dolphin X се опитва да реши тази задача с помощта на вграден алгоритъм за класифициране, базиран на изкуствен интелект.
Експертите от компанията Varonis откриха в контролния панел на Dolphin X функция, наречена AI Profiler, която анализира данните от заразените компютри, присвоява на жертвите оценка на риска и подрежда системите по приоритет. Операторите могат първо да се заемат с устройствата, при които е по-вероятно да се намери достъп до корпоративни мрежи, облачна инфраструктура, производствени среди, криптовалутни портфейли или ценни акаунти.
Според описанието на продавача, за класифицирането модулът взема предвид използваните приложения, посетените домейни, инсталирания софтуер, таговете и други събрани данни. След това панелът генерира ежедневни отчети със сортирани профили, което намалява обема на ръчната проверка на откраднатата информация.
Dolphin X се разпространява в киберпрестъпни форуми като универсален троянец за отдалечен достъп. В панела са посочени 329 функции, включително кражба на данни от над 300 приложения. Сред целите са посочени браузъри, разширения и настолни криптопортфейли, мениджъри на пароли, облачни инструменти за командния ред, SSH ключове, токени за достъп, .env файлове и запазени данни за вход.
Специалистите от Varonis проучиха контролния панел на Dolphin X, конструктора на зловредния софтуер и свързания мрежов трафик в изолирана среда. Те провериха интерфейса, декларираните функции и техническите команди, свързани със стартирането на AI Profiler, събирането на данни и изчисляването на оценката за риска. Анализът потвърди, че механизмът за класифициране на жертвите наистина е вграден в контролния панел.
Въпреки това Varonis не стартира пълнофункционалния зловреден агент Dolphin X на тестовия компютър (причината не е уточнена) и не наблюдаваше неговата работа след заразяването. Поради това специалистите не са могли да проверят независимо всички заявени функции за кражба на данни и да установят как точно изкуственият интелект изчислява рейтинга на жертвите. Докладът показва, че разработчиците на злонамерени платформи все по-активно започват да използват изкуствен интелект. При това не само за провеждане на атаки, но и за обработка на откраднатата информация и избор на най-„апетитните“ цели.