Uma nova versão do trojan de acesso remoto Dolphin X afirma usar um recurso de profiling com IA para classificar e ranquear usuários infectados, ajudando criminosos cibernéticos a identificar quais vítimas devem ser priorizadas.
A análise do malware foi feita pelo pesquisador Daniel Kelley, da Varonis Threat Labs, que encontrou a oferta em um fórum de cibercrime publicada por um vendedor sob o pseudônimo “Kontraktnik”, que o promovia como um trojan de acesso remoto completo.
Segundo a Varonis, o painel do operador lista 329 recursos distribuídos em dez categorias, incluindo uma função de roubo de credenciais que afirma atingir mais de 300 aplicativos.
Entre os destaques, está o “AI Profiler”, que analisa informações coletadas dos computadores infectados e atribui uma pontuação de risco a cada vítima.
“Além da coleta de credenciais, o painel inclui uma aba de vigilância com o AI Profiler.
O vendedor o descreve como um ‘perfilador comportamental com IA, com monitoramento do uso de aplicativos, pontuação de risco e resumo diário’”, explicou a Varonis.
A Varonis obteve o painel do operador do Dolphin X e o analisou em um laboratório isolado.
A empresa observou que examinou o construtor do malware e seu tráfego de rede, em vez de executar um agente ativo do Dolphin X em um computador infectado.
Malware de roubo de credenciais pode permitir que atacantes subtraiam dados de acesso de centenas, ou até milhares, de contas online, o que torna difícil revisar manualmente tudo em busca de alvos de maior valor.
O AI Profiler do Dolphin X afirma automatizar esse processo ao funcionar como um sistema de triagem que classifica, categoriza e ranqueia os computadores infectados, permitindo aos atacantes saber quais vítimas merecem atenção prioritária.
O painel do operador afirma que o AI Profiler pode processar o uso de aplicativos pelas vítimas, pontuações de risco e etiquetas, domínios acessados no navegador e softwares instalados para produzir perfis ranqueados.
Essas pontuações são entregues aos atacantes em resumos diários com perfis de vítimas ordenados por prioridade, o que permite focar em máquinas que possam dar acesso a contas valiosas, criptomoedas, redes corporativas, ambientes em nuvem ou sistemas de produção.
“Na prática, o recurso parece ter sido projetado para ajudar os operadores a fazer a triagem das vítimas”, explicou Kelley.
Daniel Kelley, da Varonis, confirmou que o AI Profiler está presente no painel do operador e identificou strings técnicas que sustentam o fluxo de profiling, incluindo Auto-Start AI Profiler, ProfilerStart, ProfilerGetData, risk_score, risk_factors e categoryusage.
Segundo o pesquisador, essas strings indicam que o fluxo de profiling realmente está incluído e que o painel consegue processar os dados necessários para ranquear as vítimas.
Ainda assim, a Varonis não conseguiu determinar qual mecanismo de inteligência artificial está sendo usado para gerar os rankings sem analisar uma amostra ativa do malware Dolphin X.
O malware também opera como um trojan de roubo de credenciais, e o painel do operador mostra que ele mira mais de 300 aplicativos, incluindo 9 navegadores baseados em Chromium e Gecko, 100 extensões de carteiras de criptomoedas, 65 carteiras de criptomoedas para desktop, 10 gerenciadores de senhas e mais de 30 ferramentas de linha de comando para cloud.
O Dolphin X também afirma roubar arquivos .env, chaves SSH, tokens de acesso à cloud, dados de login de navegadores, informações de carteiras de criptomoedas e outras credenciais de desenvolvedores.
Como a Varonis analisou o painel do operador, o construtor e o tráfego de rede relacionado, e não uma amostra ativa do malware executando em uma máquina infectada, as capacidades de coleta anunciadas não puderam ser confirmadas de forma independente pelo pesquisador.
A inteligência artificial tem se tornado uma ferramenta popular entre threat actors, sendo usada para lançar serviços de cibercrime como o SpamGPT e agentes de IA que realizam ataques cibernéticos autônomos.
No caso do Dolphin X, a plataforma usa IA para resolver um problema operacional: processar grandes volumes de dados roubados e separar automaticamente os usuários infectados em vítimas de maior valor.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...