Varonis Threat Labsの研究者によると、新たに発見されたWindows向けインフォスティーラー兼リモートアクセス型トロイの木馬(RAT)「Dolphin X」は、AIを活用したプロファイリングシステムを使い、サイバー犯罪者が最も価値の高い被害者を特定できるよう支援しているといいます。
サイバー犯罪フォーラムで宣伝されているこのマルウェアは、300を超えるアプリケーションを標的とするよう設計されており、暗号資産ウォレット、.envファイル、SSH鍵、クラウドトークン、DevOps認証情報など、幅広い機密データを窃取します。
しかし研究者によれば、Dolphin Xの際立った特徴は、アプリケーションの利用状況、閲覧履歴、インストール済みソフトウェアなどの要素に基づいて感染ユーザーを自動的にランク付けする「AIプロファイラー」機能にあるといいます。
Varonisは隔離されたラボ環境でこのマルウェアのオペレーターパネルを入手して解析し、このツールが被害者にスコアを割り当てることで、攻撃者が価値の高いアクセス権やデータを提供する可能性が高い被害者を素早く特定できるようにしていることを突き止めました。
このツールが役立つのは、サイバー犯罪者が数千台にも及ぶ感染マシンを管理する可能性があるためです。Varonisは、これは人手による確認では到底対応しきれない規模だと指摘しています。
攻撃者にはランキングの日次サマリーが送信されるとのことで、Varonisはこれが価値の高いユーザーの特定に役立っていると説明しています。
全体として、このパネルには10のカテゴリーにわたり329の機能が一覧表示されており、研究者は最も重要な数字として収集範囲を挙げています。認証情報窃取カテゴリーには300を超えるアプリケーションが標的として登録されています。
「これらの標的はブラウザのログイン情報や暗号資産ウォレットから、SSH鍵やクラウドトークンにまで及び、収集されたデータは単一のアーカイブにまとめられます」とVaronisの研究者は記しています。
防御側への提言として、Varonisはセキュリティチームの対応において以下の2点を優先すべきだとしています。
- 可能な限り、長期間有効な認証情報をディスク上に保存しないこと。特にプロジェクトディレクトリやローカルの認証情報ストアには置かないこと。インフォスティーラーは一度の実行であらゆるものを窃取するよう設計されているため、ローカルに保存されているものはすべて漏えいの可能性があるものとして扱うべきです
- ファイルシグネチャではなく、挙動の検知に重点を置くこと。例えば、explorer.exeが非デフォルトのデスクトップ上で実行されている場合、マルウェアバイナリがどのようにパッキングされていようと、どのハッシュ値を使用していようと、それはHVNCセッションの強力な兆候となります
翻訳元: https://www.infosecurity-magazine.com/news/new-dolphin-x-stealer-ai-targets/
