Un infostealer récemment observé, nommé Aokigahara, s'en prend aux endroits où les développeurs conservent leurs secrets les plus précieux : les assistants de codage IA, les postes de travail des développeurs et les identifiants cloud. La campagne de l'infostealer Aokigahara ciblant les outils de codage IA rappelle que les attaquants se soucient de moins en moins de votre mot de passe et de plus en plus des jetons, des clés et des fichiers de session que vos appareils stockent discrètement.

Les détails publics sur ce malware sont limités, cet article s'en tient donc à ce qui a été rapporté et explique pourquoi la technique est importante.

Comment Aokigahara vole les identifiants et les jetons de session

Selon les rapports, Aokigahara est un infostealer, un type de malware qui s'exécute sur une machine infectée, collecte des fichiers sensibles et des données stockées, puis les envoie à un attaquant. Ses cibles rapportées incluent les assistants de codage IA, les postes de travail des développeurs et les identifiants cloud, les éléments phares étant les jetons de connexion, les clés SSH et le matériel d'accès cloud.

Les infostealers n'ont pas besoin de s'introduire dans un compte par la voie difficile. Une fois qu'un malware s'exécute sur un appareil, il peut lire les fichiers que les applications laissent derrière elles pour vous maintenir connecté. C'est pourquoi un seul ordinateur portable infecté peut exposer plusieurs services à la fois : le navigateur, l'éditeur de code, la ligne de commande et tout outillage cloud configuré sur la même machine.

L'article source est bref, nous ne pouvons donc pas dire comment Aokigahara est distribué ni combien de personnes ont été affectées. Nous ne ferons pas de suppositions. Ce qui est clair, c'est la catégorie de données qu'il recherche, et cette catégorie mérite d'être comprise en elle-même.

Pourquoi les développeurs et les comptes cloud sont des cibles de grande valeur

Les machines de développeurs sont exceptionnellement riches. Un poste de travail typique peut contenir des clés SSH pour des serveurs et des dépôts de code, des identifiants d'accès cloud, des jetons API et l'état de connexion pour des assistants IA. Un seul appareil compromis peut donc être un tremplin vers le code source, l'infrastructure et les systèmes de production.

Les assistants de codage IA ajoutent une couche supplémentaire. Ils sont souvent authentifiés pour de longues périodes et liés à du code et des projets privés. Si un attaquant obtient le jeton qui prouve que vous êtes connecté, il peut agir en votre nom sans jamais voir votre mot de passe.

Cela s'inscrit dans un schéma plus large d'attaquants qui se tournent vers les outils de développement IA. Pour un contexte plus large, consultez notre couverture de la façon dont Claude Code a été weaponisé dans une attaque par rançongiciel autonome, qui montre comment ces outils peuvent être abusés sous un angle différent.

Pourquoi les jetons de session volés contournent le MFA

L'authentification multifacteur (MFA) protège le moment de la connexion. Elle demande quelque chose au-delà de votre mot de passe, comme un code ou une invite. Mais après avoir passé cette vérification, le service émet un cookie ou un jeton de session qui dit, en substance, que cet utilisateur est déjà vérifié.

Si un malware copie ce jeton, un attaquant peut le présenter au service et contourner entièrement l'étape de connexion. Il n'y a pas de mot de passe à deviner ni de code à intercepter, car la preuve de vérification a déjà été volée. Les clés SSH fonctionnent de manière similaire : une clé privée sur disque peut s'authentifier auprès d'un serveur sans aucun second facteur, à moins que la clé elle-même ne soit protégée.

Cela ne signifie pas que le MFA est inutile. Il bloque encore une large part des prises de contrôle de comptes, en particulier celles qui reposent sur des mots de passe divulgués. Il ne peut tout simplement pas aider une fois que l'appareil lui-même est compromis et que les jetons en sont extraits. C'est pourquoi l'hygiène des appareils compte autant que des mots de passe robustes.

Ce que cela signifie pour vous

Si vous écrivez du code, administrez des serveurs ou utilisez des assistants IA ayant accès à des projets privés, traitez votre poste de travail comme un coffre-fort. Les secrets qui y sont stockés valent souvent plus que n'importe quel mot de passe individuel.

Même si vous n'êtes pas développeur, la leçon s'applique. Les navigateurs stockent des cookies de session, et un malware qui les lit peut détourner des comptes protégés par MFA. Le risque vient de l'infection de l'appareil, donc garder cet appareil propre fait partie de la protection de chaque compte que vous utilisez dessus.

Étapes pratiques pour protéger vos identifiants

  • Auditez où vivent les secrets. Recherchez les clés API, les jetons et les identifiants dans les fichiers en texte brut, les fichiers d'environnement, l'historique du shell et les dossiers de projet. Déplacez-les vers un gestionnaire de secrets dédié ou le stockage sécurisé de votre système d'exploitation.
  • Protégez les clés SSH. Utilisez une phrase secrète sur les clés privées et envisagez des clés matérielles lorsque c'est possible, afin que la clé ne puisse pas être simplement copiée.
  • Renouvelez tout ce qui pourrait être exposé. Si vous soupçonnez qu'un appareil a été infecté, révoquez et réémettez les jetons, les clés SSH et les identifiants cloud depuis un appareil propre. Déconnectez-vous des sessions actives partout.
  • Passez au MFA résistant au phishing. Les clés d'accès (passkeys) et les clés de sécurité matérielles résistent bien mieux au phishing que les SMS ou les codes d'application, bien qu'aucun MFA ne résolve entièrement le vol de jetons depuis une machine infectée.
  • Gardez les appareils propres. Installez les mises à jour, utilisez une protection des points de terminaison réputée, évitez d'exécuter des scripts ou des paquets non vérifiés et soyez prudent avec les téléchargements et les pièces jointes des e-mails.
  • Limitez les privilèges et les durées de vie. Utilisez des jetons à courte durée de vie et les permissions les plus restreintes qui fonctionnent, afin qu'un identifiant volé ait moins de valeur.

À retenir

La campagne de l'infostealer Aokigahara ciblant les outils de codage IA montre que les attaquants suivent les identifiants, et ceux-ci se trouvent désormais dans les assistants IA et les environnements de développement autant que dans les champs de mot de passe. Commencez par auditer où vos secrets sont stockés, renouvelez tout jeton et toute clé qui auraient pu être exposés, et passez au MFA résistant au phishing. Pour en savoir plus sur la façon dont les attaquants exploitent les outils de développement IA à leur avantage, lisez notre rapport sur les outils de codage IA détournés dans des attaques.