Dolphin X : l'infostealer qui délègue le tri des victimes à un profileur IA

Rapport CTI technique du 25 juillet 2026

Résumé exécutif

Varonis Threat Labs a mis au jour Dolphin X, un stealer Windows combiné à un RAT vendu sur un forum cybercriminel underground par un acteur se faisant appeler Kontraktnik. Sa particularité ne tient pas à sa capacité de vol de credentials, comparable à d'autres familles de stealers commerciaux ciblant plus de 300 applications, mais à un module baptisé "AI Profiler" : les chaînes retrouvées dans le binaire du panel opérateur (ProfilerStart, ProfilerGetData, risk_score, risk_factors, category usage) confirment que le produit calcule automatiquement un score de valeur par victime infectée à partir de son usage applicatif, des domaines visités et des logiciels installés, puis livre un résumé quotidien classant les machines par intérêt pour l'opérateur. L'objectif revendiqué par le vendeur est de permettre à un affilié gérant des milliers d'infections de prioriser en un coup d'œil les postes de développeurs, les détenteurs de wallets crypto ou les accès à des environnements cloud de production.

Techniquement, Dolphin X repose sur un modèle de build entièrement cloud : rien ne se compile en local, la configuration est envoyée à un serveur backend qui renvoie un binaire personnalisé, ce qui permet au vendeur de modifier chaque livraison. Le malware embarque un moteur de mutation à plusieurs paliers explicitement conçu pour casser les règles YARA et les blocklists par hash. Varonis précise cependant une limite importante : son analyse porte sur le panel opérateur et le trafic réseau observés en laboratoire isolé, pas sur une infection réelle capturée sur le terrain. Le vecteur de distribution initial auprès des victimes, le moteur d'intelligence artificielle réellement utilisé en coulisses, et le modèle de prix exact du produit n'ont pas pu être confirmés à partir des sources consultées : nous le signalons explicitement plutôt que d'avancer des chiffres non vérifiés.

Chronologie

Fiche d'acteur / campagne

Dolphin X | Sans CVSS applicable (malware commercial, pas une vulnérabilité) | Windows, stealer + RAT vendu en Malware-as-a-Service

Description technique : builder cloud exclusif, aucune compilation locale. L'opérateur configure le build (adresse C2, chemin d'installation, options de persistance et d'évasion) via un panel desktop qui transmet la configuration à backend.thedolphinx[.]top:8443, où le binaire final est compilé côté serveur puis renvoyé. Le langage et l'architecture interne du payload livré aux victimes ne sont pas documentés publiquement dans les sources consultées.

Persistance observée dans le panel : clés de registre Run et dossier Startup, tâches planifiées. Évasion : patch AMSI et ETW, appels syscalls directs pour contourner les hooks usermode, huit méthodes de contournement UAC documentées, proxy SOCKS5 reverse, injection dans les processus navigateur et wallet. Le moteur de mutation propose trois paliers, les deux plus avancés étant réservés à une offre "PRO" selon la structure du panel : réécriture des timestamps PE, du Rich header et du padding de sections au palier bas, shuffle de la table d'imports au palier moyen, réécriture du flux de contrôle, substitution d'instructions et ré-encryptage des chaînes embarquées au palier haut.

Conditions d'exploitation : le produit est vendu tel quel sur un forum cybercriminel underground ; son déploiement dépend entièrement de l'affilié qui l'achète, aucune méthode de diffusion initiale (phishing, malvertising, logiciels crackés) n'ayant été confirmée par Varonis sur un cas réel. PoC disponible : sans objet, il s'agit d'un outil commercial déjà pleinement opérationnel côté vendeur, pas d'une vulnérabilité à démontrer. Mitigation : traiter toute machine exposée à un vecteur d'infostealer générique (pièces jointes, cracks, publicités malveillantes) avec la même hygiène de détection comportementale que pour les familles connues, faute de signature stable disponible pour Dolphin X.

Diagramme de la chaîne d'attaque

Vue radiale de l'écosystème Dolphin X : panel opérateur, backend de build cloud, moteur de mutation, module de profilage IA et catégories de données ciblées. Source : Varonis Threat Labs.

Analyse technique

Étape 1 : configuration et build à la demande

L'affilié configure son build depuis un panel desktop fourni par le vendeur : adresse du serveur de commande, chemin d'installation sur la machine cible, options de persistance, niveau de mutation souhaité. Cette configuration est envoyée au backend thedolphinx[.]top, qui compile et renvoie un binaire personnalisé. Ce modèle centralisé permet à l'opérateur du service de faire évoluer chaque livraison sans dépendre d'un binaire figé distribué en masse, ce qui complique la constitution de signatures statiques réutilisables par les défenseurs.

Étape 2 : collecte de credentials sur plus de 300 applications

Le panel revendique 329 fonctionnalités réparties en dix catégories. La collecte cible neuf navigateurs Chromium et Gecko avec déchiffrement DPAPI, plus de cent extensions de wallets crypto et soixante-cinq wallets desktop, dix gestionnaires de mots de passe, plus de trente outils et jetons d'accès cloud en ligne de commande, ainsi que des fichiers .env, des clés SSH et des cookies de session. La liste nominative complète des wallets ciblés n'est pas publiée dans les sources consultées, hormis quelques exemples cités dans le mapping technique de Varonis, comme MetaMask via extraction PBKDF2 et Exodus via DPAPI.

Étape 3 : persistance et évasion défensive

Une fois exécuté, le payload s'installe via une clé de registre Run ou le dossier Startup, ou via une tâche planifiée. Il patche AMSI et ETW pour réduire la visibilité des outils de sécurité, effectue des appels syscalls directs pour contourner les hooks placés en espace utilisateur par les EDR, et dispose de huit méthodes différentes de contournement UAC selon le contexte système rencontré. Un proxy SOCKS5 reverse permet de faire transiter le trafic de contrôle par la machine compromise elle-même.

Étape 4 : profilage comportemental par le module IA

Le module "AI Profiler" traite en continu l'usage applicatif de la victime, les domaines visités dans le navigateur, les logiciels installés et des tags comportementaux dérivés de cette activité, pour produire un score de risque individuel. Les chaînes risk_score et risk_factors retrouvées dans le binaire du panel confirment que ce traitement est réellement implémenté, et non purement marketing. Le résultat consolidé, présenté comme un résumé quotidien, permet à l'opérateur de repérer en priorité les machines de développeurs, les postes disposant d'accès cloud de production ou les détenteurs identifiés de portefeuilles crypto, parmi un volume potentiellement élevé de machines infectées. Ni Varonis ni les médias qui ont repris l'analyse n'ont pu identifier le moteur d'intelligence artificielle réellement utilisé en arrière-plan, faute d'accès à un échantillon exécuté sur une victime réelle en dehors du laboratoire.

Étape 5 : exfiltration et monétisation

Les données collectées et le score de profilage associé remontent vers l'opérateur via l'infrastructure backend du service. La monétisation qui en découle dépend ensuite de l'affilié : revente des accès à forte valeur identifiés par le profileur, usage direct pour un vol de fonds crypto, ou pivot vers un accès initial revendu à un tiers, notamment lorsque le profilage signale un accès à un environnement de production.

Indicateurs de compromission

Aucun hash de payload déployé chez une victime réelle, aucun mutex et aucune adresse C2 d'agent infecté n'ont été publiés à ce jour : le C2 est configurable individuellement à chaque build, ce qui limite la valeur d'un indicateur statique unique pour cette famille.

MITRE ATT&CK

Aucune cartographie officielle éditeur n'a été publiée pour Dolphin X à la date de rédaction. Le tableau ci-dessous est notre propre lecture technique à partir du rapport Varonis Threat Labs, pas une attribution vendeur.

Remédiation : checklist opérationnelle

1. Ne pas stocker de credentials en clair ou en cache navigateur sur les postes à risque, en particulier les postes de développement disposant d'accès cloud de production.
2. Prioriser la détection comportementale sur la détection par signature ou hash statique : le moteur de mutation de Dolphin X est explicitement conçu pour casser les règles YARA fragiles.
3. Surveiller les exécutions anormales d'explorer.exe sous un bureau non par défaut, indicateur fort d'une session HVNC indépendamment du niveau de packing du binaire.
4. Détecter les patchs en mémoire d'AMSI et d'ETW au niveau EDR plutôt que de dépendre uniquement de la télémétrie native Windows, potentiellement compromise par ces techniques.
5. Surveiller les connexions sortantes vers des infrastructures de build/licensing inhabituelles, notamment sur des ports non standards comme 8443 vers des domaines récemment enregistrés.
6. En cas de suspicion d'infection, révoquer et renouveler systématiquement tous les credentials présents sur le poste concerné : mots de passe, clés SSH, tokens cloud, sessions de wallets crypto.
7. Renforcer le MFA sur l'ensemble des accès cloud et limiter les permissions par défaut des comptes de développement, pour réduire la valeur d'un profilage réussi côté attaquant.
8. Sensibiliser les équipes disposant d'accès à forte valeur (développeurs, DevOps, détenteurs d'actifs crypto) au fait qu'elles constituent des cibles prioritaires explicitement recherchées par ce type d'outil.

Sources

• Dolphin X Stealer Targets 300+ Apps and Profiles Users with AI, Varonis Threat Labs
• New Dolphin X malware uses AI to rank high-value targets, BleepingComputer
• New Dolphin X Stealer Employs AI Profiling to Prioritize Targets, Infosecurity Magazine
• New Dolphin X infostealer uses AI to identify high-value victims, CyberInsider
• New Dolphin X Malware Steals Credentials From 300+ Apps and Profiles Victims With AI, cybersecuritynews
• Dolphin X Stealer Targets 300+ Apps With AI Victim Profiling, TechNadu

Note méthodologique : le prix de vente exact, le nombre de ventes confirmées et le vecteur de distribution initial de Dolphin X circulent dans certains résumés secondaires sans avoir pu être retracés à une source primaire vérifiable au moment de la rédaction ; ces éléments ont été volontairement omis de cet article plutôt que recopiés sans confirmation.