Thought Leadership
Die Schadsoftware Dolphin X nutzt einen KI-Profiler zur automatischen Bewertung infizierter Systeme. Das Tool filtert besonders wertvolle Ziele heraus.
Sicherheitsforscher von Varonis Threat Labs haben das Bedienfeld der neuen Schadsoftware Dolphin X analysiert, die in Untergrundforen unter dem Pseudonym Kontraktnik angeboten wird. Bei dem Programm handelt es sich um einen Remote-Access-Trojaner mit integriertem Information-Stealer. Eine Besonderheit stellt der enthaltene KI-Profiler dar. Dieser wertet erfasste Informationen infizierter Computer aus und weist den Systemen automatisiert Risikowerte und Kategorien zu. Daniel Kelley, Sicherheitsforscher bei Varonis, beschrieb das Modul folgendermaßen:
„Über die Erfassung von Anmeldedaten hinaus enthält das Bedienfeld eine Überwachungslasche mit dem KI-Profiler. Der Verkäufer beschreibt ihn als ‚KI-Verhaltensprofiler mit Anwendungsnutzungsverfolgung, Risikobewertung und täglicher Zusammenfassung‘.“
Daniel Kelley, Sicherheitsforscher bei Varonis
Das System verarbeitet Anwendungsnutzung, installierte Programme und besuchte Browserdomänen, um tägliche Berichte mit einer Priorisierung der Opfer zu erstellen. Dies soll den Angreifern das Auffinden von Systemen mit Zugriff auf Unternehmensnetzwerke, Cloud-Umgebungen oder Kryptowährungen erleichtern.
Umfangreiche Funktionen zum Diebstahl von Zugangsdaten
Neben dem Profilierungsmodul umfasst das Bedienfeld laut der Analyse 329 Funktionen in zehn Kategorien. Die Schadsoftware zielt auf den Diebstahl von Zugangsdaten aus mehr als 300 Anwendungen ab. Darunter befinden sich Browser auf Chromium- und Gecko-Basis, 100 Krypto-Wallet-Erweiterungen, 65 Desktop-Wallets, zehn Passwort-Manager sowie über 30 Kommandozeilen-Werkzeuge für Cloud-Dienste. Zudem ist das Programm darauf ausgelegt, Umgebungsvariablen-Dateien, SSH-Schlüssel, Cloud-Zugriffstoken und Entwickler-Zugangsdaten von den Systemen auszulesen.
Untersuchung des Bedienfelds und technische Befunde
Die Forschenden untersuchten das Administrationsfenster, den Erstellungs-Builder sowie den zugehörigen Netzwerkverkehr in einer isolierten Laborumgebung. Eine Ausführung eines aktiven Agenten auf einem infizierten System fand nicht statt. Im Programmcode des Bedienfelds identifizierten die Analysten technische Zeichenfolgen wie ProfilerStart, ProfilerGetData und risk_score. Diese bestätigen die Einbindung der Auswertungsfunktionen in das Admin-Panel. Welche KI-Engine konkret für die Generierung der Bewertungen verwendet wird, konnte ohne die Analyse eines aktiven Programmmusters auf einem Zielrechner nicht zweifelsfrei ermittelt werden.
(red)
