大規模な認証情報窃取機能、隠しVNC(HVNC)、SOCKS5プロキシ機能、そしてAIによる被害者ランキング機能を組み合わせた、Windows向けの新たなステーラー兼リモートアクセスツールが販売されています。
このマルウェアは「Kontraktnik」として知られる攻撃者によって宣伝されており、300以上のアプリケーションを標的にしているとされています。Dolphin Xは、ブラウザのパスワードをはるかに超える範囲のデータ窃取を狙って設計されています。
宣伝されているデータ収集機能には、暗号資産ウォレット、ブラウザ拡張機能、パスワードマネージャー、.envファイル、SSH鍵、クラウドアクセストークン、開発者向けコマンドラインツールが使用する認証情報などが含まれます。
このマルウェアは、9種類のブラウザ、100を超えるウォレット拡張機能、65種類のデスクトップウォレット、10種類のパスワードマネージャー、30種類のクラウドCLIツールからデータを収集できるとされています。
.envファイルやローカルのSSHディレクトリには、クラウドコンソール、CI/CDシステム、ソースリポジトリ、本番環境向けの長期有効な認証情報が含まれることが多く、開発者やクラウド管理者にとって重大なリスクとなります。
Dolphin Xは、窃取した情報を持ち出す前に単一のアーカイブファイルにまとめます。
この挙動はMITRE ATT&CKの技術T1560(収集データのアーカイブ化)に該当し、ブラウザの認証情報やパスワードストアのデータ、ファイルに保存された認証情報の窃取はT1555.003、T1555、T1552.001にそれぞれ対応します。
「AI Profiler」と呼ばれる主要機能は、アプリケーションの利用状況、閲覧行動、インストール済みソフトウェアを追跡し、感染した各ユーザーにスコアを割り当てます。
オペレーターは被害者をランク付けした日次サマリーを受け取ることができ、高価値な認証情報や企業アクセス権を得られる可能性が高いシステムを優先的に狙えるようになっています。
オペレーター用パネルではリモートビルドにも対応しています。攻撃者はローカルでコンパイルする代わりに、C2アドレスやインストールパス、永続化設定、検知回避オプションなどの設定情報をバックエンドに送信します。ペイロードはthedolphinx[.]top:8443でリモートビルドされます。
この配布方式により、販売者は攻撃者にペイロードを渡す前にそれを変異させることができます。
宣伝されている変異機能の各ティアでは、制御フロー、命令、文字列暗号化、インポートテーブル、PEタイムスタンプ、Richヘッダー、セクションのパディングなどを変更できるとされ、ハッシュベースのブロックリストや脆弱なシグネチャルールを無力化することを狙っています。
Dolphin Xはまた、攻撃者に隠しデスクトップセッションを提供し得るHVNC機能や、侵害済みデバイス経由でトラフィックを迂回させられる可能性があるSOCKS5リバースプロキシ機能も宣伝しています。
その他の機能一覧には、プロセスインジェクション、AMSIおよびETWのパッチ改ざん、ダイレクトシステムコール、UACバイパス、レジストリRunキーによる永続化、スケジュールタスクによる永続化なども含まれています。
セキュリティチームは、振る舞いベースの検知を優先し、explorer.exeが非標準のデスクトップ上で動作していないか、ブラウザや開発者向け認証情報の保存場所から不審なアーカイブが生成されていないか、ウォレットやパスワードマネージャーのデータへの不審なアクセスがないか、想定外のプロキシ挙動がないかを調査すべきです。
Varonisの指摘によれば、今回の分析はオペレーター用パネルとネットワークトラフィックを対象としたものであり、多くのエージェント機能は実際の感染環境で独立に確認されたものではなく、あくまで販売者側が宣伝している内容にとどまっています。
SOC調査の死角を減らし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと事業への影響を抑えましょう。
翻訳元: https://cyberpress.org/ai-powered-stealer-enables-hvnc/
