Nach Darstellung von Varonis ist der „KI-Profiler“ in einem Überwachungsbereich des Panels untergebracht. Der Verkäufer beschreibe ihn als „KI-Verhaltensprofiler mit Nachverfolgung der App-Nutzung, Risikowert und täglicher Zusammenfassung“. Die Funktion soll Informationen auswerten, die von infizierten Computern gesammelt wurden, und jedem Opfer einen Risikowert zuweisen.
Der Zweck dahinter ist laut Varonis vor allem operative Priorisierung. Malware zum Diebstahl von Zugangsdaten kann Angreifern Zugriff auf Hunderte, wenn nicht Tausende Online-Konten verschaffen. Dolphin X soll diesen Aufwand automatisieren, indem infizierte Systeme bewertet, kategorisiert und sortiert werden, damit Angreifer zuerst die mutmaßlich wertvollsten Ziele weiterverfolgen können.
Laut dem Operator-Panel verarbeitet der Profiler dazu unter anderem die Nutzung von Anwendungen, Risikowerte und Markierungen, Browser-Domains sowie installierte Software. Die Ergebnisse sollen in täglichen Zusammenfassungen mit sortierten Opferprofilen bereitgestellt werden. Diese Ranglisten sollen es den Betreibern erleichtern, Rechner zu priorisieren, die Zugang zu wertvollen Konten, Kryptowährungen, Unternehmensnetzwerken, Cloud-Umgebungen oder Produktionssystemen bieten könnten.
Daniel Kelley erklärte laut Varonis, die Funktion wirke in der Praxis darauf ausgelegt, Opfern eine Prioritätsstufe zuzuweisen. Gegenüber BleepingComputer bestätigte der Forscher, dass der KI-Profiler im Operator-Panel vorhanden ist. Zudem fand er technische Zeichenfolgen, die den Profiling-Ablauf stützen sollen, darunter „Auto-Start AI Profiler“, „ProfilerStart“, „ProfilerGetData“, „risk_score“, „risk_factors“ und „categoryusage“.
Diese Zeichenfolgen deuteten nach Einschätzung des Forschers darauf hin, dass der Profiling-Ablauf tatsächlich im Panel enthalten ist und die Oberfläche die nötigen Daten zur Einstufung von Opfern verarbeiten kann. Welches System für künstliche Intelligenz die Rankings erzeugt, konnte Varonis jedoch nicht feststellen. Dafür wäre laut den Forschern die Analyse einer laufenden Dolphin-X-Malwareprobe nötig gewesen.
Neben der Profiling-Funktion soll Dolphin X auch als Stealer für Zugangsdaten arbeiten. Das Operator-Panel zeigt laut Varonis, dass die Malware mehr als 300 Anwendungen adressiert, darunter 9 Browser auf Basis von Chromium und Gecko, 100 Erweiterungen für Krypto-Wallets, 65 Desktop-Krypto-Wallets, 10 Passwortmanager und mehr als 30 Cloud-Kommandozeilenwerkzeuge.
Darüber hinaus beansprucht Dolphin X laut Varonis den Diebstahl von .env-Dateien, SSH-Schlüsseln, Cloud-Zugriffstokens, Browser-Anmeldedaten, Informationen zu Krypto-Wallets und weiteren Entwickler-Zugangsdaten. Diese behaupteten Sammelfähigkeiten wurden von den Forschern allerdings nicht unabhängig bestätigt. Varonis weist darauf hin, dass die Analyse auf Operator-Panel, Builder und zugehörigem Netzwerkverkehr beruhte, nicht auf einer live ausgeführten Malwareprobe auf einem kompromittierten System.
Varonis ordnet Dolphin X in einen breiteren Trend ein, bei dem Bedrohungsakteure künstliche Intelligenz für Cybercrime-Dienste und autonome Angriffe einsetzen. Im Fall von Dolphin X dient KI laut den Forschern jedoch nicht primär dem Angriff selbst, sondern der Auswertung großer Mengen gestohlener Daten und der automatischen Sortierung infizierter Nutzer nach ihrem mutmaßlichen Wert für weitere Angriffe.