新型のWindows向けステーラー、AIプロファイリングで高価値な企業標的を選別

サイバー犯罪フォーラムで、「Dolphin X」と呼ばれる新たなWindows向けインフォスティーラー兼リモートアクセス型トロイの木馬(RAT)が売り出されています。その触れ込みは明快で、高価値な企業標的の窃取とその優先順位付けを自動化するというものです。

ブラウザのパスワード窃取を主眼とする一般的なステーラーとは異なり、Dolphin Xは企業環境に食い込むデータ収集ツールとして位置付けられています。AIを活用した被害者スコアリング機能を内蔵しており、攻撃者がどの侵害端末を優先的に悪用すべきか判断する手助けをする設計になっています。

分析によれば、Dolphin Xは認証情報窃取カテゴリーで300以上のアプリケーションを標的にできるとされています。

1回の収集処理だけで、9種類のブラウザ、100を超えるウォレット拡張機能、65種類のデスクトップウォレット、10種類のパスワードマネージャー、30種類のクラウドコマンドラインツールから情報を1つのアーカイブにまとめて収集できます。

特に注目すべきは、その対象範囲が暗号資産ウォレットにも及ぶ点です。.envファイル、SSHキー、クラウドトークン、その他DevOpsやインフラ関連の認証情報も対象となっており、攻撃者は個人アカウントから本番のクラウド環境まで、あらゆるものへアクセスできる可能性を手にすることになります。

開発者のワークステーションでは、.envファイルやSSHディレクトリに過剰な権限を持つ長期間有効な機密情報が保存されていることが多く、これらが流出するとビルドパイプラインや管理コンソール、機密データストアへの侵入口を開いてしまいかねません。

Varonisは、Dolphin Xのオペレーターパネルを入手し、制御されたラボ環境で分析を行いました。まずはエージェントのビルドワークフローから着手しています。

オペレーター用クライアントはデスクトップ型の設定ウィザードとなっており、オペレーターはC2エンドポイント、インストールパス、永続化オプション、回避設定をローカルで指定します。ただし実際のコンパイル処理は、backend.thedolphinx[.]top:8443のバックエンドサービスに委ねられます。

すべてのビルドを販売者側のインフラ経由で処理させることで、配布前にサーバー側でバイナリを変異させる関門を販売者が握る仕組みになっています。

パネル上ではこれが3段階の「変異エンジン」として提示されており、より高度な難読化レベルは有料のPROプランでのみ利用可能です。このエンジンはデフォルトでは無効になっており、パネルには「無効のままにするとビルドごとに同一のハッシュ値になる」との注記が明記されています。

最も下位の変異ティアは、表面的でありながら検知に関わるメタデータの改変に重点を置いています。PEタイムスタンプ、Richヘッダー、セクションのパディングを書き換えるもので、いずれも脆弱なYARAルールやハッシュベースのブロックリストがよく依拠している要素です。

Varonis Threat Labsがこのマルウェアを特定したのは、「Kontraktnik」というハンドルネームを使う販売者の出品を発見したことがきっかけでした。この人物はDolphin Xを、オールインワンのRAT兼認証情報窃取プラットフォームとして売り込んでいます。

中位ティアでは、インポートテーブルをシャッフルし、ビルドごとにバイナリのインポートハッシュを変化させることで、インポートベースの検知を妨害する機能が謳われています。

AIプロファイリングを使うWindowsステーラー

最上位ティアでは、制御フローの書き換え、命令の置換、埋め込み文字列をビルドごとに新しい鍵で再暗号化するなど、さらに踏み込んだ変換が謳われています。これにより、防御側が安定したバイトパターンを捕捉することが一段と難しくなります。

このモデルは、クライムウェア・アズ・ア・サービス全体に見られる広範な傾向を反映しています。販売者が自動化されたポリモーフィズムを収益化することで、顧客はほとんど技術的な知識がなくても静的検知を回避できるようになっているのです。

データ窃取にとどまらず、Dolphin Xのオペレーターパネルには監視機能のセクションもあり、「AIプロファイラー」を備えています。販売者はこれを「アプリ利用状況の追跡、リスクスコア、日次サマリーを備えたAI行動プロファイラー」と説明しています。

このプロファイラーは、アプリケーションの利用状況、閲覧行動、インストール済みソフトウェアを監視した上で、各被害者にスコアを付け、ランク付けされた日次サマリーをオペレーターに返します。

実際には、これは大規模なボットネット向けの自動選別システムとして機能します。攻撃者は数千台に及ぶ感染端末を手作業でふるいにかける代わりに、クラウドCLI、IDE、データベースクライアント、管理コンソールなどを稼働させている「高価値」システムを優先順位付けしたリストとして受け取り、後続の攻撃の標的に据えることができます。

これは、脅威アクターがAIを実運用に組み込むことで標的選定の判断を大規模化し、侵害した1台あたりの収益を最大化しようとする、業界全体でより広く見られる傾向とも合致しています。

とりわけ開発者やDevOpsのワークステーションのような不適切なエンドポイントに侵入された場合、Dolphin Xへの一度の感染だけで、CI/CDパイプラインやInfrastructure as Codeのプラットフォーム、クラウドコンソールへ直結する機密情報が露呈しかねません。

このステーラーは数多くのウォレットやパスワードマネージャーに対応しているため、1件のインシデントで個人資産と企業リソースの両方が同時に侵害される恐れがあり、インシデント対応や攻撃者の特定を一段と複雑にします。

AI選別エンジンの統合は攻撃者側の作業負荷も軽減するため、隠れた仮想ネットワークコンピューティング(HVNC)やラテラルムーブメント、侵入後のフレームワークといった高度な手口を、最も実入りの良い標的から優先的に、より集中的に用いることを可能にしています。

ネットワーキング

explorer.exeがデフォルトではないデスクトップ上で動作しているといった挙動は、Dolphin Xのバイナリがどのようにパッケージ化・変異されているかに関わらず、HVNCに関連する活動を示す強力な兆候として研究者に注目されています。

Varonisは、Dolphin Xを踏まえた防御上の優先事項として2点を強調しています。第一に、ディスク上に長期間有効な認証情報を残さないこと、あるいは可能な限り排除することです。機密情報はプロジェクトディレクトリや環境変数ファイル、ローカルの認証情報ストアに置かないようにすべきです。

第二に、検知の重点をファイルシグネチャから行動ベースへとシフトすることです。セキュリティチームは、explorer.exeのインスタンスがデフォルトではないデスクトップ上で動作している、クラウドCLIの不審な使用パターンが見られる、認証情報ストアへの異常なアクセスがあるといった兆候を監視すべきです。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的にディフェンジング処理(例: [.])を施しています。再度有効な形式に戻す作業は、MISPやVirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

2026年、AI SOCに求められる機能とは? 完全チェックリスト : AI SOC機能チェックリストをダウンロード