Malware Dolphin X Pakai AI untuk Menentukan Target Bernilai Tinggi
Dolphin X, malware baru yang dipasarkan sebagai remote access trojan (RAT) sekaligus information stealer untuk Windows, menarik perhatian karena mengklaim memakai fitur berbasis AI untuk menilai dan memeringkat korban yang terinfeksi.
Fitur tersebut disebut AI Profiler. Alih-alih hanya mencuri data dalam jumlah besar, panel operator Dolphin X diklaim dapat menganalisis informasi dari komputer korban, memberi risk score, lalu membantu pelaku menentukan mesin mana yang paling bernilai untuk ditindaklanjuti.
Temuan ini berasal dari analisis Varonis Threat Labs terhadap panel operator Dolphin X yang ditemukan dipromosikan di forum kejahatan siber oleh vendor dengan alias “Kontraktnik”. Malware tersebut dipasarkan sebagai RAT serbaguna dengan ratusan kemampuan yang ditujukan untuk pencurian kredensial, pemantauan korban, hingga akses jarak jauh.
AI Profiler untuk Memilih Korban Prioritas
Dalam operasi infostealer, pelaku sering kali mendapatkan banyak data dari berbagai mesin yang terinfeksi. Masalahnya, tidak semua korban memiliki nilai yang sama. Akun pribadi, wallet cryptocurrency, akses cloud, kredensial developer, atau koneksi ke jaringan perusahaan dapat membuat satu mesin jauh lebih menarik dibanding korban lain.
Dolphin X mencoba mengatasi masalah tersebut dengan AI Profiler. Panel operatornya mengklaim fitur ini dapat memproses pola penggunaan aplikasi, browser domain, software yang terpasang, risk score, dan tag tertentu untuk menghasilkan profil korban yang sudah diperingkat.
Hasil pemeringkatan tersebut kemudian disajikan dalam ringkasan harian kepada operator. Dengan cara ini, pelaku dapat lebih cepat memprioritaskan mesin yang berpotensi membuka akses ke akun bernilai tinggi, wallet cryptocurrency, environment cloud, jaringan korporat, atau sistem produksi.
Peneliti juga menemukan sejumlah string teknis yang mendukung alur kerja profiling, termasuk Auto-Start AI Profiler, ProfilerStart, ProfilerGetData, risk_score, risk_factors, dan categoryusage. Indikasi ini menunjukkan bahwa panel memang memuat mekanisme untuk memproses data yang dibutuhkan dalam pemeringkatan korban.
Target Lebih dari 300 Aplikasi
Selain fitur AI Profiler, Dolphin X juga menonjol karena cakupan pencurian kredensial yang luas. Panel operatornya menampilkan 329 fitur dalam sepuluh kategori, termasuk modul credential looter yang mengklaim dapat menargetkan lebih dari 300 aplikasi.
Daftar target yang disebutkan mencakup sembilan browser berbasis Chromium dan Gecko, lebih dari 100 ekstensi wallet cryptocurrency, 65 wallet crypto desktop, 10 password manager, serta lebih dari 30 tool command-line cloud.
Dolphin X juga mengklaim dapat mencuri file .env, SSH keys, cloud access token, data login browser, informasi wallet cryptocurrency, serta kredensial developer lain. Pada mesin developer atau administrator, data semacam ini dapat berdampak serius karena sering kali terhubung ke pipeline build, cloud console, repository, atau sistem produksi.
Kemampuan Masih Berdasarkan Analisis Panel
Meski klaim fitur Dolphin X cukup luas, penting dicatat bahwa analisis yang dilakukan berfokus pada panel operator, malware builder, dan network traffic terkait dalam lingkungan lab terisolasi. Peneliti tidak menjalankan sampel Dolphin X aktif pada komputer korban yang benar-benar terinfeksi.
Dengan demikian, sejumlah kemampuan yang diiklankan oleh pembuat malware belum dapat dianggap sebagai perilaku yang sepenuhnya terkonfirmasi di endpoint korban. Namun, keberadaan panel, builder, serta string teknis yang mendukung alur profiling tetap menunjukkan arah baru dalam cara pelaku mengemas tool kejahatan siber.
AI Mulai Dipakai untuk Operasional Kejahatan Siber
Penggunaan AI pada Dolphin X berbeda dari tren tool phishing otomatis atau layanan cybercrime berbasis chatbot. Dalam kasus ini, AI digunakan untuk menyelesaikan masalah operasional pelaku: memilah data curian dalam skala besar dan menentukan korban mana yang paling menguntungkan untuk dieksploitasi lebih lanjut.
Bagi tim keamanan, temuan ini memperkuat pentingnya mengurangi penyimpanan kredensial jangka panjang di disk lokal, terutama file konfigurasi, token cloud, SSH keys, dan secrets di direktori proyek. Jika infostealer berhasil berjalan, data lokal semacam itu bisa langsung menjadi pintu masuk ke lingkungan yang lebih sensitif.
Deteksi juga perlu difokuskan pada perilaku, bukan hanya hash file. Malware yang memiliki mekanisme build dan mutasi dapat mengubah artefak biner, sementara aktivitas seperti pengumpulan kredensial, akses tidak biasa ke direktori sensitif, atau sesi remote tersembunyi tetap menjadi sinyal yang perlu dipantau.
Sumber: Varonis Threat Labs
