Когда заражённых устройств становится слишком много для ручного разбора целей, злоумышленникам нужен способ быстро выбрать самые ценные из них, и новый троян удалённого доступа Dolphin X пытается решить эту задачу с помощью встроенного ИИ-ранжировщика.

Эксперты компании Varonis обнаружили в панели управления Dolphin X функцию AI Profiler, которая анализирует сведения с заражённых компьютеров, присваивает жертвам оценку риска и выстраивает системы по приоритету. Операторы могут сначала заняться устройствами, где вероятнее найти доступ к корпоративным сетям, облачной инфраструктуре, производственным средам, криптовалютным кошелькам или ценным учётным записям.

Согласно описанию продавца, для ранжирования модуль учитывает используемые приложения, посещённые домены, установленное ПО, теги и другие собранные данные. Затем панель формирует ежедневные сводки с отсортированными профилями, сокращая объём ручной проверки украденной информации.

Dolphin X распространяют на киберпреступном форуме как универсальный троян удалённого доступа. В панели заявлены 329 функций, включая кражу данных более чем из 300 приложений. Среди целей указаны браузеры, расширения и настольные криптокошельки, менеджеры паролей, облачные инструменты командной строки, SSH-ключи, токены доступа, файлы .env и сохранённые учётные данные.

Специалисты Varonis изучили панель управления Dolphin X, конструктор вредоноса и связанный сетевой трафик в изолированной среде. Они проверили интерфейс, заявленные функции и технические строки, связанные с запуском AI Profiler, сбором данных и расчётом оценки риска. Анализ подтвердил, что механизм ранжирования жертв действительно встроен в панель управления.

Однако Varonis не запускала полноценный вредоносный агент Dolphin X на тестовом компьютере (причина не уточняется) и не наблюдала его работу после заражения. Поэтому специалисты не смогли независимо проверить все заявленные функции кражи данных и выяснить, как именно ИИ рассчитывает рейтинг жертв.

Отчёт показывает, что разработчики вредоносных платформ всё активнее начинают применять ИИ. Причём не только для проведения атаки, но и для обработки похищенной информации и выбора наиболее «лакомых» целей.