Dolphin X Stealer colpisce oltre 300 app e usa l’IA per scegliere le vittime

🛡️ Executive Summary

• Dolphin X punta a browser, wallet, password manager, file .env, chiavi SSH e credenziali usate dagli strumenti cloud e DevOps.
• Il pannello criminale integra un profiler IA che assegna punteggi alle vittime e segnala ogni giorno i sistemi considerati più redditizi.
• Le difese devono rimuovere i segreti persistenti dai dispositivi e rilevare raccolta massiva, HVNC, injection e comportamenti anomali.

Varonis Threat Labs ha individuato Dolphin X, un nuovo infostealer e Remote Access Trojan per Windows pubblicizzato nei forum cybercriminali come piattaforma completa per il furto di dati. Il malware dichiara di colpire oltre 300 applicazioni, includendo browser, wallet di criptovalute, password manager, strumenti cloud e ambienti di sviluppo. La caratteristica più particolare è un AI Profiler che analizza software installato, attività e abitudini della vittima per assegnare un punteggio ai sistemi compromessi. Gli operatori possono così concentrare le attività successive sui computer che offrono accessi finanziari, aziendali o infrastrutturali più remunerativi. Varonis ha analizzato il pannello dell’operatore e il relativo traffico in un laboratorio isolato.

Dolphin X raccoglie credenziali da oltre 300 applicazioni

Il pannello di Dolphin X presenta 329 funzioni distribuite in dieci categorie, con oltre 300 obiettivi nella sola sezione dedicata alla raccolta delle credenziali. Secondo la configurazione osservata, un singolo archivio può contenere informazioni provenienti da nove browser, più di cento estensioni wallet, 65 portafogli desktop, dieci password manager e trenta strumenti a riga di comando utilizzati per amministrare servizi cloud. Il raggio d’azione supera quindi quello di uno stealer concentrato esclusivamente su cookie e password salvate nel browser.

Dolphin X cerca anche file .env, directory SSH, token cloud e credenziali DevOps, elementi che su una workstation tecnica possono consentire l’accesso a repository, pipeline di build, console amministrative e ambienti di produzione. La stessa evoluzione emergeva nei 292 repository GitHub falsi usati per distribuire BoryptGrab, dove il valore dell’infezione non dipendeva soltanto dai dati personali, ma dalla possibilità di raggiungere wallet e infrastrutture di sviluppo. Su un computer aziendale, una singola compromissione può quindi produrre conseguenze molto più ampie della perdita dell’account locale.

Il profiler IA ordina le vittime in base al loro valore

La sezione di sorveglianza del pannello include un AI behavioral profiler che raccoglie informazioni sull’utilizzo delle applicazioni, sul software installato e sull’attività del sistema. La funzione assegna un risk score e genera un riepilogo giornaliero con le vittime considerate più interessanti. L’intelligenza artificiale non viene impiegata per violare direttamente una protezione, ma per risolvere un problema operativo tipico dei servizi criminali su larga scala: distinguere rapidamente poche macchine di alto valore tra migliaia di infezioni. Un endpoint con wallet, password manager, tool AWS, directory SSH e software aziendale può ricevere una priorità superiore rispetto a un dispositivo domestico privo di credenziali utili. Gli operatori possono così decidere dove attivare funzioni RAT, cercare ulteriori accessi o rivendere i dati. Il meccanismo trasforma la profilazione in una fase automatizzata della catena criminale, riducendo il lavoro manuale necessario per esaminare ogni archivio. Varonis precisa però di avere osservato la funzione nel builder e nella documentazione del venditore: le capacità dichiarate dal pannello non sono state tutte confermate attraverso l’esecuzione completa dell’agente su un sistema infetto.

Il builder remoto modifica ogni campione prima della distribuzione

Dolphin X viene commercializzato attraverso un client desktop che consente all’operatore di scegliere server C2, percorso di installazione, persistenza e opzioni di evasione. La compilazione non avviene sul computer del cliente: la configurazione viene inviata al backend backend.thedolphinx[.]top sulla porta 8443, dove il server del fornitore genera il binario. Questa architettura permette al venditore di controllare il processo di costruzione e applicare un motore di mutazione a più livelli.

Le configurazioni avanzate, riservate al piano PRO, promettono la riscrittura del control flow, la sostituzione delle istruzioni, la nuova cifratura delle stringhe e la modifica della tabella delle importazioni. Il livello inferiore interviene invece su timestamp PE, Rich Header e padding delle sezioni, aree spesso utilizzate dalle regole YARA meno robuste e dalle blocklist basate sugli hash. Ogni build può quindi presentare caratteristiche statiche differenti pur mantenendo le stesse funzioni. Il modello ricorda la logica commerciale di Telepuz, distribuito come Malware-as-a-Service con moduli e build in continuo aggiornamento: la piattaforma centrale offre agli affiliati configurazione, evasione e manutenzione senza richiedere competenze di sviluppo malware.

Wallet, token cloud e chiavi SSH ampliano l’impatto aziendale

Tra le capacità esposte nel pannello figurano la decifratura delle credenziali di browser Chromium e Gecko tramite DPAPI, l’estrazione dei vault MetaMask, il recupero dei seed di Exodus e la raccolta dei dati archiviati nei password manager. Dolphin X può inoltre cercare chiavi SSH, file di configurazione e token appartenenti a più di trenta CLI cloud, comprimendo i risultati in un unico archivio.

Le workstation degli sviluppatori rappresentano obiettivi particolarmente sensibili perché spesso conservano credenziali durature e sovradimensionate per comodità operativa. Un token presente in un file .env può autorizzare l’accesso a database, bucket, API o servizi di produzione; una chiave SSH può aprire server remoti e repository privati; una configurazione Docker può contenere credenziali per registry aziendali. Anche NadMesh sfrutta i servizi AI esposti per raccogliere chiavi AWS e token Kubernetes, confermando come le identità infrastrutturali siano diventate una merce prioritaria nel cybercrime. La compromissione non deve quindi essere trattata come semplice furto di password: tutte le identità presenti o accessibili dal dispositivo devono essere considerate esposte e sottoposte a rotazione.

Persistenza, injection e HVNC completano le capacità del RAT

La mappatura MITRE ATT&CK elaborata da Varonis include persistenza tramite chiavi Run, cartelle di avvio e attività pianificate, oltre a process injection, bypass UAC e patch di AMSI ed ETW. Il pannello dichiara inoltre syscall dirette per eludere gli hook delle API in user mode, un reverse proxy SOCKS5 e funzioni di Hidden Virtual Network Computing. Attraverso HVNC, l’attaccante può aprire un desktop nascosto ed eseguire applicazioni senza mostrare alla vittima finestre evidenti sullo schermo principale. Varonis indica come possibile segnale comportamentale l’avvio di explorer.exe all’interno di un desktop non predefinito: l’hash del campione può cambiare, ma la necessità di creare una sessione grafica nascosta produce attività rilevabili. Le difese devono quindi correlare l’accesso simultaneo a database dei browser, directory wallet, file .env, credenziali cloud e chiavi SSH, soprattutto quando segue la creazione di archivi o connessioni verso infrastrutture sconosciute. Il dominio thedolphinx[.]top, il backend sulla porta 8443 e l’hash del client operatore pubblicato dai ricercatori costituiscono indicatori utili, ma non sufficienti contro campioni mutati lato server.

I segreti persistenti sui dispositivi diventano il vero punto debole

La mitigazione più efficace consiste nel ridurre la quantità di credenziali utilizzabili che uno stealer può trovare in un’unica esecuzione. Chiavi cloud a lunga durata, token salvati nei progetti, file .env dimenticati e chiavi SSH prive di adeguate restrizioni devono essere sostituiti con identità temporanee, secret manager e autorizzazioni minime. Gli account amministrativi non dovrebbero condividere il medesimo endpoint usato per navigazione, posta e attività ordinarie, mentre i browser aziendali devono limitare il salvataggio locale di password e sessioni sensibili. Dopo un’infezione sospetta, la bonifica del dispositivo non chiude l’incidente: occorre revocare cookie, token, password, credenziali cloud, chiavi SSH e accessi ai wallet presenti durante la compromissione. Dolphin X mostra come l’intelligenza artificiale possa essere applicata non solo alla produzione del malware, ma alla gestione industriale delle vittime. Il risultato è una piattaforma che automatizza raccolta, classificazione e selezione degli obiettivi, trasformando ogni workstation compromessa in una possibile porta verso l’intera organizzazione.