- Dolphin X는 사용자 행동, 권한, 시스템 정보를 인공지능 모델로 분석해 가치 점수를 산출한다.
- 악성코드 내부에 AI 추론 기능을 임베드해 오프라인 동작이 가능하며 네트워크 탐지 회피에 유리하다.
- 운영자는 점수 기반으로 랜섬웨어 배포, 자격증명 탈취 등 2차 공격 자원을 효율적으로 배분할 수 있다.
악성코드가 스스로 고가치 표적을 선별하는 시대로 전환되면서 전통적인 시그니처 중심 탐지 체계의 한계가 다시 한 번 드러나고 있다.
2026년 7월 23일 Bleeping Computer는 AI 네이티브 원격 접근 트로이목마 Dolphin X의 신규 변종 보고서를 공개했다. 해당 악성코드는 감염 시스템의 사용자 행태와 권한 정보를 인공지능 모델로 자동 분석해 표적 우선순위를 정렬하는 기능을 탑재한 것으로 알려진다. 본문은 Dolphin X의 동작 방식과 공격자 운영 관점의 변화, 그리고 탐지 대응 전략에 대해 원문 출처를 기반으로 정리한다.
Dolphin X의 등장과 배경
Dolphin X는 전통적인 RAT(Remote Access Trojan) 범주에 속하지만 단순한 원격 제어 기능을 넘어 인공지능 기반 의사결정 모듈을 함께 내장했다는 점에서 주목할 필요가 있다. Bleeping Computer는 이를 별개의 변종군이 아닌, AI 활용을 본격화한 신세대 악성코드 사례로 분류했다.
기존 RAT와의 차별점
기존 RAT는 대부분 감염 이후 운영자가 수동으로 명령을 내리고 사후 탐지 위험을 감수하는 방식이었다. 반면 Dolphin X는 감염 즉시 피해자 가치 평가까지 1차 자동화하기 때문에 다수 엔드포인트가 침해된 환경에서 운영자의 분석 부담을 크게 줄여준다.
AI 기능 임베드의 의미
악성코드 내부에 추론 모델을 임베드하면 클라우드 호출 없이 오프라인에서 점수를 산출할 수 있다. 이는 네트워크 행위 기반 탐지와 EDR의 외부 통신 모니터링을 우회하기 위한 설계로 추정되며, AI 네이티브 위협의 확산을 상징하는 사례로 평가된다.
AI 기반 표적 선별 메커니즘
Dolphin X의 핵심 동작은 감염 시스템의 프로파일링과 가치 점수 산출이다. Bleeping Computer 원문에 따르면 다음 항목들이 분석 대상 신호로 활용된다.
수집 데이터 항목과 프로파일링 방식
수집 정보는 크게 네 가지 축으로 정리할 수 있다.
| 분류 | 수집 항목 예시 | 활용 목적 |
|---|---|---|
| 사용자 행태 | 로그인 패턴, 업무 시간대, 사용 응용 프로그램 | 계정 가치 및 권한 수준 추정 |
| 권한 정보 | 관리자 여부, 도메인 그룹, 토큰 보유 여부 | 수평 이동 가능성 평가 |
| 시스템 정보 | 운영체제 버전, 자산 식별자, 네트워크 위치 | 중요 자산군 여부 판별 |
| 환경 정황 | 백신 제품, 가상화 여부, 클라우드 자격증명 흔적 | 탐지 회피 난이도와 2차 공격 효율 산정 |
가치 점수 산출 알고리즘 추정
원문은 구체적 모델 구조를 공개하지 않았지만, 경량 추론 모델이 다축 피처를 가중합산하는 방식으로 점수를 산출하는 것으로 분석된다. 보조 출처 The Hacker News도 AI 기능을 활용한 신규 위협군이 증가 추세라는 정황을 함께 언급해 Dolphin X 사례의 신뢰도를 뒷받침한다.
공격자 운영 관점의 변화
Dolphin X는 단순한 침해 도구를 넘어 공격 운영 효율화 도구로 진화했다. 운영자는 수천 대의 감염 엔드포인트 중 자원 배분이 가장 효율적인 대상을 손쉽게 골라낼 수 있게 되었다.
자원 배분 최적화 효과
가치 점수가 높은 시스템에 랜섬웨어 페이로드, 정보 탈취 모듈, 2차 침투 도구를 우선 투입하면 적은 노력으로 높은 수익을 기대할 수 있다. 단, 이는 분석에 기반한 추정이며 실제 수익 모델은 공개된 자료에서 확인되지 않는다. 반대로 점수가 낮은 시스템은 즉시 폐기해 분석 흔적을 최소화하는 운영 패턴이 가능해진다.
2차 공격 사례로의 연계 가능성
점수가 높은 표적은 도메인 관리자, 재무 담당자, DevOps 계정 등 핵심 자격증명을 보유할 확률이 높다. 이 경우 랜섬웨어 배포, 공급망 침투, 비즈니스 이메일 침해(BEC) 등 2차 공격의 발판으로 활용될 위험이 커진다.
보안 업계의 대응 시사점
Dolphin X 사례는 탐지 전략의 방향성에 중요한 시사점을 제공한다. 정적 시그니처와 단순 IOC 목록만으로는 AI 의사결정 기반 악성코드를 충분히 차단하기 어렵기 때문이다.
행위 기반 탐지의 강화 필요성
EDR과 XDR은 의심스러운 자식 프로세스 생성, 권한 상승 시도, 비정상 데이터 외부 유출 등의 행위 신호를 종합 상관분석해야 한다. 특히 AI 추론 모듈이 디스크에 남기는 모델 파일과 임시 캐시, 그리고 비정상적인 메모리 점유 패턴은 행위 기반 탐지의 중요한 단서가 될 수 있다.
기업 및 개인 사용자의 예방 수칙
가장 효과적인 예방은 초기 침투를 차단하는 것이다. 피싱 훈련 강화, 최소 권한 원칙 적용, MFA 도입, 중요 자산 분리, 정기 백업과 복구 훈련이 기본이지만 Dolphin X 사례는 권한 관리의 중요성을 다시 한번 강조한다. 감염을 전제로 하더라도 권한 상승을 어렵게 만들면 가치 점수가 낮아져 2차 공격 확률을 줄일 수 있다.
참고 자료: Bleeping Computer 원문, The Hacker News 동향
정리 포인트
- Dolphin X는 AI 추론을 악성코드 내부에 임베드해 오프라인 표적 선별이 가능한 신세대 RAT다.
- 가치 점수 기반 자원 배분은 랜섬웨어와 2차 공격 효율을 극대화해 피해 위험을 가중한다.
- 대응의 핵심은 행위 기반 탐지 고도화와 최소 권한, MFA 등 초기 침투 차단 통제의 강화다.