Novootkriveni infostealer nazvan Aokigahara cilja mjesta na kojima developeri čuvaju svoje najvrjednije tajne: AI asistente za kodiranje, razvojne radne stanice i cloud vjerodajnice. Kampanja Aokigahara infostealera usmjerena na AI alate za kodiranje podsjetnik je da napadače sve manje zanimaju vaše zaporke, a sve više tokeni, ključevi i datoteke sesija koje vaši uređaji tiho pohranjuju.

Javno dostupni detalji o ovom zlonamjernom softveru su ograničeni, pa se ovaj tekst drži onoga što je objavljeno i objašnjava zašto je ta tehnika važna.

Kako Aokigahara krade prijave i sesijske tokene

Prema izvješćima, Aokigahara je infostealer, vrsta zlonamjernog softvera koji se izvršava na zaraženom računalu, prikuplja osjetljive datoteke i pohranjene podatke te ih šalje napadaču. Njegove prijavljene mete uključuju AI asistente za kodiranje, razvojne radne stanice i cloud vjerodajnice, a glavne stavke su prijavni tokeni, SSH ključevi i materijal za pristup cloudu.

Infostealeri ne moraju provaliti u račun na teži način. Kad se zlonamjerni softver jednom izvršava na uređaju, može čitati datoteke koje aplikacije ostavljaju kako bi vas zadržale prijavljenima. Zato jedan zaraženi prijenosnik može odjednom izložiti nekoliko usluga: preglednik, uređivač koda, naredbeni redak i sve cloud alate konfigurirane na istom računalu.

Izvorni je članak kratak, pa ne možemo reći kako se Aokigahara dostavlja ni koliko je ljudi pogođeno. Nećemo nagađati. Jasno je koja je vrsta podataka u pitanju, a tu vrstu vrijedi razumjeti i samu po sebi.

Zašto su developerska računala i cloud računi visokovrijedne mete

Developerska su računala neuobičajeno bogata. Tipična radna stanica može sadržavati SSH ključeve za poslužitelje i repozitorije koda, cloud vjerodajnice, API tokene i stanje prijave za AI asistente. Jedan kompromitirani uređaj stoga može biti odskočna daska u izvorni kod, infrastrukturu i produkcijske sustave.

AI asistenti za kodiranje dodaju još jedan sloj. Često su autentificirani na dulja razdoblja i povezani s privatnim kodom i projektima. Ako napadač dobije token koji dokazuje da ste prijavljeni, može možda djelovati kao vi, a da nikada ne vidi vašu zaporku.

To se uklapa u širi obrazac napadača koji svoju pozornost okreću AI razvojnim alatima. Za širi kontekst pogledajte našu reportažu o tome kako je Claude Code iskorišten u autonomnom ransomware napadu, koja pokazuje kako se ti alati mogu zloupotrijebiti iz drugog smjera.

Zašto ukradeni sesijski tokeni zaobilaze MFA

Višefaktorska autentifikacija (MFA) štiti trenutak prijave. Traži nešto više od vaše zaporke, poput koda ili upita. No nakon što prođete tu provjeru, usluga izdaje sesijski kolačić ili token koji, u biti, kaže da je ovaj korisnik već verificiran.

Ako zlonamjerni softver kopira taj token, napadač ga može predstaviti usluzi i potpuno preskočiti korak prijave. Nema zaporke koju treba pogoditi ni koda koji treba presresti, jer je dokaz verifikacije već ukraden. SSH ključevi rade slično: privatni ključ na disku može se autentificirati na poslužitelj bez ikakvog drugog faktora, osim ako sam ključ nije zaštićen.

To ne znači da je MFA beskoristan. On još uvijek blokira velik dio preuzimanja računa, posebno onih koji se oslanjaju na procurjele zaporke. Jednostavno ne može pomoći kad je sam uređaj kompromitiran i kad su tokeni s njega ukradeni. Zato je higijena uređaja jednako važna kao i jake zaporke.

Što to znači za vas

Ako pišete kod, administrirate poslužitelje ili koristite AI asistente s pristupom privatnim projektima, tretirajte svoju radnu stanicu kao sef. Tajne pohranjene na njoj često vrijede više od bilo koje pojedinačne zaporke.

Čak i ako niste developer, lekcija vrijedi. Preglednici pohranjuju sesijske kolačiće, a zlonamjerni softver koji ih čita može preoteti račune koji su bili zaštićeni MFA-om. Rizik proizlazi iz toga što je uređaj zaražen, pa je održavanje tog uređaja čistim dio zaštite svakog računa koji na njemu koristite.

Praktični koraci za zaštitu vjerodajnica

  • Provjerite gdje se nalaze tajne. Provjerite ima li API ključeva, tokena i vjerodajnica u običnim tekstualnim datotekama, environment datotekama, povijesti ljuske i mapama projekata. Premjestite ih u namjenski upravitelj tajnama ili u sigurnu pohranu vašeg operacijskog sustava.
  • Zaštitite SSH ključeve. Koristite lozinku na privatnim ključevima i razmotrite ključeve s hardverskom podrškom gdje je to moguće, kako se ključ ne bi mogao jednostavno kopirati.
  • Rotirajte sve što je moguće izloženo. Ako sumnjate da je uređaj bio zaražen, opozovite i ponovno izdajte tokene, SSH ključeve i cloud vjerodajnice s čistog uređaja. Odjavite se iz aktivnih sesija svugdje.
  • Prijeđite na MFA otporan na phishing. Passkeys i hardverski sigurnosni ključevi mnogo se bolje odupiru phishingu od SMS-a ili aplikacijskih kodova, iako nijedan MFA u potpunosti ne rješava krađu tokena sa zaraženog računala.
  • Održavajte uređaje čistima. Instalirajte ažuriranja, koristite provjerenu endpoint zaštitu, izbjegavajte pokretanje neprovjerenih skripti ili paketa i budite oprezni s preuzimanjima i privicima e-pošte.
  • Ograničite privilegije i trajanje. Koristite kratkotrajne tokene i najuže dopuštenja koja funkcioniraju, kako bi ukradena vjerodajnica vrijedila manje.

Glavni zaključak

Kampanja Aokigahara infostealera usmjerena na AI alate za kodiranje pokazuje da napadači slijede vjerodajnice, a one sada leže u AI asistentima i developerskim okruženjima jednako kao i u poljima za zaporku. Počnite provjerom gdje su pohranjene vaše tajne, rotirajte sve tokene i ključeve koji su mogli biti izloženi i prijeđite na MFA otporan na phishing. Za više o tome kako napadači koriste AI razvojne alate u svoju korist, pročitajte naš izvještaj o zloupotrebi AI alata za kodiranje u napadima.