近期，一款名为 Dolphin X 的 Windows 信息窃取木马与远程访问木马（RAT）进入了我们的视野。这款恶意软件在地下论坛公开发布，其核心威胁在于引入了“AI 分析器”，能够自动对受感染的主机进行智能化分级，从而帮助攻击者在海量肉鸡中精准锁定“高价值目标”。
攻击链与智能化筛选机制
从我们的应急响应经验来看，传统的信息窃取木马往往采取“广撒网”策略，导致攻击者需要耗费大量精力从庞杂的数据中筛选有价值的信息。Dolphin X 的出现改变了这一现状。它不仅具备窃取加密货币钱包、SSH 密钥、云凭证、DevOps 凭据及 .env 配置文件等超过 300 种应用程序数据的能力，更通过其内置的 AI 模块，根据受害者的应用使用习惯、浏览痕迹及已安装软件进行打分。
攻击者每天会收到一份自动生成的受害者排名汇总。这种自动化处理机制，使得即便攻击者控制了数千台受感染主机，也能在短时间内迅速定位到那些具备高权限、高访问价值的终端，极大地提升了变现效率。
技术手段背后的威胁本质
Dolphin X 的操作面板逻辑清晰，涵盖了十个大类共 329 个特征维度。它将所有目标数据归集到单一存档中进行外带，这种“一锅端”的窃取方式，使得一旦终端被控，企业内部的开发环境、云基础设施访问权限等核心资产将面临直接泄露风险。
这一环节是很多企业容易忽视的，即攻击者往往通过木马先行获取基础凭据，随后通过这些凭据进行横向移动或进一步渗透。类似攻击近年来明显增加，攻击者正变得越来越“聪明”，他们不再盲目攻击，而是通过自动化分析工具来优化自己的投入产出比。
Solar 应急响应建议
面对 Dolphin X 这类具备智能化筛选功能的威胁，企业防御重心需从传统的静态防御转向行为分析。
首先，针对凭据管理，我们建议企业尽量避免在磁盘上存放长效凭据。特别是在项目目录或本地凭据存储区中，一旦被木马扫描，所有存储的数据均应视为已泄露。建议采用动态密钥管理或凭据托管方案。
其次，在检测端，不要过度依赖基于文件哈希的静态特征匹配。攻击者可以通过变体和加壳手段轻松绕过，建议将重点放在行为指标上。例如，如果发现 explorer.exe 在非默认桌面上运行，这极有可能是 HVNC（隐藏虚拟网络计算）会话的征兆，此时应立即触发高等级安全响应，无论恶意程序的二进制文件如何伪装。
防御的核心在于缩短检测和响应的时间窗口。在自动化攻击面前，手动排查往往滞后，企业应建立基于异常行为的实时监控机制，确保在攻击者完成“筛选”并实施进一步攻击前，及时阻断其连接。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com