Hiljattain havaittu Aokigahara-niminen infostealeri jahtaa paikkoja, joihin kehittäjät tallentavat arvokkaimmat salaisuutensa: tekoälypohjaiset koodausavustajat, kehittäjien työasemat ja pilvitunnukset. Aokigahara-infostealerin tekoälypohjaisiin koodaustyökaluihin kohdistuva kampanja muistuttaa siitä, että hyökkääjät välittävät yhä vähemmän salasanastasi ja yhä enemmän niistä tokeneista, avaimista ja istuntotiedostoista, joita laitteesi hiljaa tallentaa.
Julkiset tiedot tästä haittaohjelmasta ovat vähäisiä, joten tämä kirjoitus pitäytyy siinä, mitä on raportoitu, ja selittää, miksi tekniikka on merkityksellinen.
Miten Aokigahara varastaa kirjautumistietoja ja istuntotokeneita
Raporttien mukaan Aokigahara on infostealeri, eräänlainen haittaohjelma, joka toimii infektoituneella koneella, kerää arkaluontoisia tiedostoja ja tallennettuja tietoja ja lähettää ne hyökkääjälle. Sen raportoituihin kohteisiin kuuluvat tekoälypohjaiset koodausavustajat, kehittäjien työasemat ja pilvitunnukset, ja keskeisimpiä kohteita ovat kirjautumistokenit, SSH-avaimet ja pilvipalveluiden käyttöoikeusmateriaalit.
Infostealerien ei tarvitse murtautua tilille vaikeimman kautta. Kun haittaohjelma on käynnissä laitteella, se voi lukea tiedostoja, joita sovellukset jättävät jälkeensä pitääkseen sinut kirjautuneena. Siksi yksi infektoitunut kannettava tietokone voi paljastaa useita palveluita kerralla: selaimen, koodieditorin, komentorivin ja kaikki samalle koneelle määritetyt pilvityökalut.
Lähdeartikkeli on lyhyt, joten emme voi sanoa, miten Aokigahara toimitetaan tai kuinka moni on altistunut sille. Emme arvaile. Selvää on se dataluokka, jota se haluaa, ja tuo luokka on syytä ymmärtää itsessään.
Miksi kehittäjät ja pilvitilit ovat arvokkaita kohteita
Kehittäjien koneet ovat poikkeuksellisen rikkaita. Tyypillinen työasema voi sisältää SSH-avaimia palvelimille ja koodivarastoille, pilvipalveluiden käyttöoikeustunnuksia, API-tokeneita ja tekoälyavustajien kirjautumistilan. Yhdestä vaarantuneesta laitteesta voi siten tulla astinlauta lähdekoodiin, infrastruktuuriin ja tuotantojärjestelmiin.
Tekoälypohjaiset koodausavustajat lisäävät uuden kerroksen. Ne ovat usein todennettuja pitkiä aikoja ja linkitettyjä yksityiseen koodiin ja projekteihin. Jos hyökkääjä saa tokenin, joka todistaa sinun olevan kirjautuneena, hän voi ehkä toimia sinuna koskaan näkemättä salasanaasi.
Tämä sopii laajempaan kaavaan, jossa hyökkääjät kääntävät huomionsa tekoälyn kehitystyökaluihin. Laajempaa kontekstia varten katso juttumme siitä, miten Claude Codea käytettiin aseena autonomisessa kiristysohjelmahyökkäyksessä, joka osoittaa, miten näitä työkaluja voidaan väärinkäyttää eri suunnasta.
Miksi varastetut istuntotokenit ohittavat MFA:n
Monivaiheinen todennus (MFA) suojaa kirjautumishetkeä. Se vaatii jotain salasanan lisäksi, kuten koodin tai kehotteen. Mutta kun olet läpäissyt tarkistuksen, palvelu myöntää istuntoevästeen tai tokenin, joka käytännössä sanoo, että tämä käyttäjä on jo vahvistettu.
Jos haittaohjelma kopioi tuon tokenin, hyökkääjä voi esittää sen palvelulle ja ohittaa kirjautumisvaiheen kokonaan. Ei ole salasanaa arvattavaksi eikä koodia siepattavaksi, koska todiste vahvistuksesta on jo varastettu. SSH-avaimet toimivat samalla tavalla: levylle tallennettu yksityinen avain voi todentaa palvelimelle ilman toista tekijää, ellei avainta itsessään ole suojattu.
Tämä ei tarkoita, että MFA olisi hyödytön. Se estää edelleen suuren osan tilikaappauksista, erityisesti ne, jotka perustuvat vuotaneisiin salasanoihin. Se ei vain voi auttaa, kun laite itsessään on vaarantunut ja tokenit on nostettu siitä. Siksi laitehygienia on yhtä tärkeää kuin vahvat salasanat.
Mitä tämä tarkoittaa sinulle
Jos kirjoitat koodia, ylläpidät palvelimia tai käytät tekoälyavustajia, joilla on pääsy yksityisiin projekteihin, kohtele työasemaasi holvina. Siinä tallennetut salaisuudet ovat usein arvokkaampia kuin mikään yksittäinen salasana.
Vaikka et olisi kehittäjä, oppi pätee. Selaimet tallentavat istuntoevästeitä, ja haittaohjelma, joka lukee ne, voi kaapata MFA:lla suojattuja tilejä. Riski syntyy laitteen infektoitumisesta, joten laitteen pitäminen puhtaana on osa jokaisen sillä käyttämäsi tilin suojaamista.
Käytännön toimenpiteet tunnusten suojaamiseksi
- Kartoita, missä salaisuudet sijaitsevat. Tarkista API-avaimet, tokenit ja tunnukset pelkistä tekstitiedostoista, ympäristötiedostoista, komentorivin historiasta ja projektikansioista. Siirrä ne erilliseen salaisuuksien hallintaan tai käyttöjärjestelmäsi suojattuun tallennustilaan.
- Suojaa SSH-avaimet. Käytä salalausetta yksityisissä avaimissa ja harkitse laitteistopohjaisia avaimia mahdollisuuksien mukaan, jotta avainta ei voi yksinkertaisesti kopioida.
- Vaihda kaikki, mikä voi olla paljastunut. Jos epäilet laitteen infektoituneen, peruuta ja myönnä uudelleen tokenit, SSH-avaimet ja pilvitunnukset puhtaalta laitteelta. Kirjaudu ulos aktiivisista istunnoista kaikkialla.
- Siirry tietojenkalastelua kestävään MFA:han. Passkeys-avaimet ja laitteistopohjaiset suojausavaimet kestävät tietojenkalastelua huomattavasti paremmin kuin SMS- tai sovelluskoodit, vaikka mikään MFA ei täysin ratkaise tokenien varastamista infektoituneelta koneelta.
- Pidä laitteet puhtaina. Asenna päivitykset, käytä luotettavaa päätepistesuojausta, vältä vahvistamattomien skriptien tai pakettien suorittamista ja ole varovainen latausten ja sähköpostiliitteiden kanssa.
- Rajoita käyttöoikeuksia ja voimassaoloaikoja. Käytä lyhytaikaisia tokeneita ja kapeimpia toimivia käyttöoikeuksia, jotta varastettu tunnus on arvottomampi.
Yhteenveto
Aokigahara-infostealerin tekoälypohjaisiin koodaustyökaluihin kohdistuva kampanja osoittaa, että hyökkääjät seuraavat tunnuksia, ja ne sijaitsevat nykyään tekoälyavustajissa ja kehittäjäympäristöissä yhtä lailla kuin salasanakentissä. Aloita kartoittamalla, missä salaisuutesi sijaitsevat, vaihda kaikki tokenit ja avaimet, jotka ovat saattaneet paljastua, ja siirry tietojenkalastelua kestävään MFA:han. Lisätietoja siitä, miten hyökkääjät kääntävät tekoälyn kehitystyökalut edukseen, lue raporttimme tekoälypohjaisten koodaustyökalujen väärinkäytöstä hyökkäyksissä.
