Dolphin X: infostealer, który profiluje ofiary przez AI

Badacze z Varonis Threat Labs (Daniel Kelley) opisali nowe złośliwe oprogramowanie dla Windows nazwane Dolphin X — połączenie infostealera i trojana zdalnego dostępu. Wyróżnia je nie tylko zasięg kradzieży (ponad 300 aplikacji), ale też sposób reklamowania: sprzedawca chwali się profilowaniem ofiar przez AI, które ma wskazywać, kogo okraść najpierw.

Tu potrzebna jest ostrożność, więc od razu rozdzielmy dwie rzeczy: analiza możliwości kradzieży jest ustaleniem badaczy, natomiast „AI” jest przede wszystkim twierdzeniem marketingowym autora malware’u z forum przestępczego. Jedno i drugie warto rozumieć osobno.

Co Dolphin X faktycznie kradnie

Zakres jest szeroki i wyraźnie nastawiony na cele o wysokiej wartości:

• 9 przeglądarek (dane logowania, sesje),
• ponad 100 rozszerzeń portfeli kryptowalut i 65 portfeli desktopowych,
• 10 menedżerów haseł,
• 30 narzędzi CLI do chmury,
• pliki .env, klucze SSH oraz dane usług chmurowych.

Ta lista mówi więcej niż deklaracje sprzedawcy. Cele takie jak .env, klucze SSH i narzędzia chmurowe to nie łup „konsumencki” — to poświadczenia dostępu do infrastruktury. Dolphin X celuje w stacje deweloperów i administratorów, bo z jednego takiego komputera można wejść do repozytoriów, chmury i produkcji.

„AI Profiler” — co to znaczy naprawdę

Według opisu funkcja analizuje zainstalowane oprogramowanie, aktywność przeglądania i użycie aplikacji, przypisuje każdej ofierze ocenę wartości, a następnie generuje dzienne podsumowania rankingujące zainfekowane systemy. Operator zarządzający tysiącami maszyn ma dzięki temu szybko wskazać stacje deweloperskie, użytkowników kryptowalut i inne łakome kąski.

Czy to „prawdziwa AI”? Tego z zewnątrz nie da się rozstrzygnąć i nie ma to większego znaczenia operacyjnego. Istotny jest mechanizm, nie etykieta: przestępcy przeszli od masowego zbierania danych do triage’u ofiar. Nawet prosty scoring oparty na regułach (czy jest zainstalowany Docker? czy są klucze SSH? czy jest portfel?) daje ten sam efekt — skraca czas między infekcją a celowanym nadużyciem najcenniejszego konta.

Dla obrońcy wniosek jest niewygodny: okno reakcji się skraca. Dawniej skradzione dane mogły leżeć tygodniami w hurcie, zanim ktoś je przejrzał. Przy automatycznym rankingu wartościowa ofiara trafia na wierzch listy niemal od razu.

Skala na razie wczesna

Warto zachować proporcje. Według doniesień oferta miała ponad 3 tys. wyświetleń i co najmniej dwie potwierdzone sprzedaże z pozytywnymi opiniami pod koniec lipca 2026. To sygnał wczesnej trakcji na rynku przestępczym, a nie dowód masowej kampanii. Nie ma podstaw, by pisać o epidemii — są podstawy, by obserwować ten kierunek.

Co zrobić

1. Traktuj stacje deweloperów jak systemy krytyczne. To one mają klucze SSH, .env i tokeny chmury. Zasługują na najmocniejszy EDR i najkrótsze okna aktualizacji.
2. Wynieś sekrety poza dysk. Zamiast plików .env i kluczy w katalogu domowym używaj menedżera sekretów, krótkotrwałych poświadczeń i uwierzytelniania federacyjnego. Skradziony plik ma wtedy znikomą wartość.
3. Załóż rotację po incydencie. Przy podejrzeniu infekcji infostealerem rotuj wszystko, co mogło być na dysku: tokeny, klucze SSH, sesje, hasła. Sam antywirus nie unieważnia skradzionych danych.
4. Pamiętaj, że menedżery haseł są celem. To nie argument przeciw nim — one nadal są właściwym rozwiązaniem — ale za silnym hasłem głównym, MFA i blokadą skarbca. Szerzej w tekście o menedżerach haseł w firmie.
5. Monitoruj wycieki własnych danych. Warto regularnie sprawdzać, czy dane nie wyciekły i reagować na pojawienie się firmowych poświadczeń.

Najważniejszy wniosek

Dolphin X najlepiej czytać nie jako „malware z AI”, lecz jako dowód industrializacji kradzieży poświadczeń: szeroki zbiór celów plus automatyczny triage ofiar. Etykieta „AI” to marketing, ale skrócenie czasu od infekcji do nadużycia jest realne. Podstawy obrony pozostają te same, co przy każdym infostealerze — z naciskiem na sekrety poza dyskiem i szybką rotację. Jeśli chcesz sprawdzić, co realnie leży na stacjach Twojego zespołu, odezwij się.

Źródła: BleepingComputer, Varonis Threat Labs, CyberInsider. Opis funkcji „AI Profiler” pochodzi z materiałów reklamowych autora malware’u i nie został niezależnie zweryfikowany.