Нов зловреден софтуер Aokigahara краде идентификационни данни за ChatGPT, Claude, Codex и Cursor

Новооткрит зловреден софтуер за кражба на информация (infostealer) за Windows, наречен Aokigahara, е насочен към идентификационни данни за вход и сесийни данни, свързани с ChatGPT Desktop, Claude, Codex и Cursor.

Зловредният софтуер сканира заразените компютри за файлове за автентикация и хранилища на приложения, разширявайки познатата кражба на пароли към инструментите с изкуствен интелект, които разработчиците все по-често използват за ежедневната си работа.

Заплахата не е доказателство, че тези AI услуги са били компрометирани. Вместо това атаresourceкуващите събират локално съхранявана информация, която може да им помогне да получат достъп до профилите.

Подобни кражби, насочени към AI агенти за програмиране, показаха защо токените, запазените връзки и записите на проекти заслужават същата защита като паролите в браузъра и ключовете за облачни услуги.

Изследователи от Check Point идентифицираха Aokigahara в реална среда и описаха подробно неговите възможности в доклад от 23 октомври.

Новият зловреден софтуер Aokigahara

Те отбелязаха, че по-ранна версия може да е била известна като Kamidere или Stygian, като същевременно подчертаха, че методите на операторите за монетизиране на откраднатата информация все още не са потвърдени.

Специализиран модул за събиране на данни, наречен aisessions, търси данни, свързани с Claude Code, Claude Desktop, Codex, ChatGPT Desktop и Cursor.

Обхватът му включва също Windsurf, GitHub Copilot, Gemini CLI, JetBrains AI Assistant, Amazon Q и Kiro. Освен това модулът изпраща заявки към Windows Credential Manager за съхранени идентификационни данни.

При Claude целите за събиране включват файлове с идентификационни данни и папки на десктоп приложението. Целите при Codex включват файлове за автентикация, конфигурационни файлове и файлове за работната среда.

Локалните бази данни за съхранение на Cursor също биват избирани, докато при ChatGPT Desktop се претърсва кешът на приложението. Тези локации могат да съдържат полезни тайни данни, но не всеки целеви файл задължително съдържа парола или токен.

По-ранни доклади за кражба на идентификационни данни от Aoki описват подобен интерес към данните на AI приложения. Реалният риск зависи от това дали събраните тайни данни остават валидни и използваеми за повторна употреба: активните сесийни токени биха могли да предоставят на атакуващите достъп до профила, без да се налага отново да въвеждат паролата на жертвата.

Този достъп би могъл да разкрие лични разговори, качени материали или информация за разработката. Атакуващите биха могли също така да използват платени услуги или да препродават компрометирани акаунти.

От Check Point определят това като потенциални сценарии, а не като потвърдена активност от страна на операторите на Aokigahara, и повдигат въпроса за евентуално изнудване чрез данни, при което откраднатият достъп разкрива чувствително бизнес съдържание.

Отделен модул ide разширява обхвата на събиране към идентификационни данни за Git, SSH файлове, които могат да съдържат частни ключове, както и конфигурационни данни за AWS, Azure и Google Cloud.

Наред с фокуса си върху изкуствения интелект, Aokigahara краде идентификационни данни и бисквитки от браузъри, прави екранни снимки и прихваща съдържанието на клипборда, като също така събира данни от криптопортфейли, приложения за съобщения, VPN и имейл приложения.

Заобикаляне на защити, криптирани качвания и реакция при инциденти

Aokigahara включва опционални проверки, предназначени да затруднят анализа на зловредния софтуер. В зависимост от конфигурацията той проверява за индикатори за дебъгер, следи от виртуални машини, хардуерни ресурси, брой процеси и движение на мишката.

Той може също така да спре изпълнението си, когато езиковите настройки на клавиатурата или интерфейса на Windows съвпадат с изключена група, включваща руски, украински и няколко регионални езика.

Конфигурацията му е криптирана с AES-256-CBC и контролира кои вградени модули за събиране на данни да се изпълняват. Тя съхранява също детайли за сървъра, комуникационни настройки и резервни дестинации.

Важно е да се отбележи, че деактивираните модули за събиране остават вградени в изпълнимия файл, така че възможностите, присъстващи в даден образец, могат да надхвърлят активираните по време на конкретно изпълнение.

Зловредният софтуер пакетира събраната информация в ZIP архиви, след което криптира качванията с помощта на AES-256-GCM. Обменът на ключове X25519 помага за установяване на ключа за криптиране.

Отделни заявки отварят сесия за качване, прехвърлят всяка категория събрани данни и отбелязват завършването. Последните анализирани образци използват низ User-Agent, наподобяващ този на Windows, въпреки че този низ сам по себе си не може да докаже заразяване.

Заглавните части при качване идентифицират категорията на събиране и поредния номер, което позволява на сървъра да отдели данните от браузъра от AI сесиите и другите откраднати материали.

Последното съобщение за завършване сигнализира, че фазата на качване е приключила; то не потвърждава самостоятелно, че всеки откраднат архив е достигнал до сървъра.

По-широката тенденция вече се наблюдава при инциденти, включващи фалшив npm пакет за Gemini, който е бил насочен към локални данни от няколко AI инструмента.

Тази отделна кампания не определя метода за разпространение на Aokigahara; тя показва как работните процеси на разработчиците са се превърнали в привлекателно място за събиране на данни за достъп, използваеми повторно.

За защитниците моделът на събиране подкрепя необходимостта от наблюдение на неочаквани процеси, които четат хранилища за автентикация на AI, бази данни на редактори, облачни идентификационни данни и SSH материали.

Мрежовите констатации трябва да се проверяват заедно с доказателствата от крайните точки, вместо да се третират като самостоятелно доказателство. Check Point публикува и YARA правило за подпомагане идентификацията на зловредния софтуер.

След подозрение за инфекция екипите за реагиране трябва да изолират устройството и да използват чиста система, за да прекратят AI сесиите, да сменят компрометираните ключове и да прегледат свързаните облачни акаунти и хранилища с код.

Самото възстановяване на пароли може да остави откраднатите сесии използваеми. Екипите трябва също така да прегледат активността в AI профилите и да установят дали е имало достъп до чувствителни разговори или качени файлове.

Констатациите се отнасят до кражба от компрометирани крайни устройства, а не до доказана уязвимост в ChatGPT, Claude, Codex или Cursor.

Поради това организациите трябва да включат сесиите на приложенията с изкуствен интелект в съществуващите си планове за реагиране срещу софтуер за кражба на информация, вместо да ги третират като обикновени настройки на приложенията.

Индикатори за компрометиране (IoCs):-

Следната таблица възпроизвежда всички 150 SHA-1 хеша на образци от Aokigahara. Всяка клетка представлява отделен образец; колоните не указват връзки между образците.

Допълнителни мрежови и файлови артефакти, докладвани от източника, могат да подпомогнат поведенческото търсене на заплахи (behavioral hunting). За разлика от изброените хешове на образци и дестинации за командване и контрол (C2), тези артефакти не са задължително зловредни сами по себе си.

Забележка: IP адресите и домейните умишлено са обезвредени (напр. [.]), за да се предотврати случайно разрешаване на имена или хипервръзки. Възстановявайте адресите само в контролирани платформи за анализ на заплахи като MISP, VirusTotal или вашата SIEM система.