Egy újonnan megfigyelt infostealer, az Aokigahara, azokra a helyekre pályázik, ahol a fejlesztők a legértékesebb titkaikat tartják: az AI-kódoló asszisztensekre, a fejlesztői munkaállomásokra és a felhőbeli hitelesítő adatokra. Az Aokigahara infostealer AI-kódoló eszközöket célzó kampánya emlékeztet arra, hogy a támadókat egyre kevésbé érdekli a jelszavad, és egyre inkább a tokenek, kulcsok és munkamenet-fájlok, amelyeket az eszközeid csendben tárolnak.

A kártevőről nyilvánosan elérhető részletek korlátozottak, ezért ez a bejegyzés ahhoz tartja magát, amiről beszámoltak, és elmagyarázza, miért számít a technika.

Hogyan lopja el az Aokigahara a bejelentkezéseket és munkamenet-tokeneket

A beszámolók szerint az Aokigahara egy infostealer, a kártevők egy olyan típusa, amely egy fertőzött gépen fut, érzékeny fájlokat és tárolt adatokat gyűjt, és elküldi őket a támadónak. Jelentett célpontjai közé tartoznak az AI-kódoló asszisztensek, a fejlesztői munkaállomások és a felhőbeli hitelesítő adatok, a fő tételek pedig a bejelentkezési tokenek, SSH-kulcsok és felhőhozzáférési anyagok.

Az infostealereknek nem kell nehéz úton betörniük egy fiókba. Amint a kártevő fut egy eszközön, olvashatja azokat a fájlokat, amelyeket az alkalmazások visszahagynak, hogy bejelentkezve tartsanak. Ezért tud egyetlen fertőzött laptop egyszerre több szolgáltatást is felfedni: a böngészőt, a kódszerkesztőt, a parancssort és bármilyen felhőeszközt, amely ugyanazon a gépen van beállítva.

A forráscikk rövid, ezért nem tudjuk megmondani, hogyan terjed az Aokigahara, vagy hány embert érintett. Nem fogunk találgatni. Az világos, hogy milyen adatkategóriát akar, és ez a kategória önmagában is érdemes a megértésre.

Miért nagy értékű célpontok a fejlesztők és a felhőfiókok

A fejlesztői gépek szokatlanul gazdagok. Egy tipikus munkaállomáson lehetnek SSH-kulcsok szerverekhez és kódtárakhoz, felhőhozzáférési hitelesítő adatok, API-tokenek és AI-asszisztensek bejelentkezési állapota. Egy feltört eszköz ezért ugródeszka lehet a forráskódba, az infrastruktúrába és az éles rendszerekbe.

Az AI-kódoló asszisztensek egy újabb réteget adnak hozzá. Gyakran hosszú ideig hitelesítettek, és privát kódhoz és projektekhez kapcsolódnak. Ha egy támadó megszerzi azt a tokent, amely igazolja, hogy be vagy jelentkezve, képes lehet úgy cselekedni, mintha te lennél, anélkül hogy valaha látná a jelszavadat.

Ez beleillik abba a szélesebb mintába, hogy a támadók az AI-fejlesztőeszközök felé fordulnak. Szélesebb kontextusért lásd a Claude Code önálló zsarolóvírus-támadásban való fegyverré tételéről szóló tudósításunkat, amely megmutatja, hogyan lehet ezeket az eszközöket egy másik irányból kihasználni.

Miért kerülik meg az ellopott munkamenet-tokenek az MFA-t

A többtényezős hitelesítés (MFA) a bejelentkezés pillanatát védi. Olyasmit kér a jelszavadon túl, mint egy kód vagy egy kérés. De miután átmész ezen az ellenőrzésen, a szolgáltatás kiad egy munkamenet-sütit vagy tokent, amely lényegében azt mondja: ez a felhasználó már hitelesítve van.

Ha a kártevő lemásolja ezt a tokent, a támadó bemutathatja azt a szolgáltatásnak, és teljesen kihagyhatja a bejelentkezési lépést. Nincs jelszó, amit kitalálni, és nincs kód, amit elfogni, mert a hitelesítés bizonyítékát már ellopták. Az SSH-kulcsok hasonlóan működnek: egy lemezen lévő privát kulcs hitelesíthet egy szerverhez bármilyen második tényező nélkül, hacsak maga a kulcs nincs védve.

Ez nem jelenti azt, hogy az MFA haszontalan. Továbbra is blokkolja a fiókátvételek nagy részét, különösen azokat, amelyek kiszivárgott jelszavakra támaszkodnak. Egyszerűen nem tud segíteni, ha maga az eszköz kompromittálódott, és a tokeneket eltávolították róla. Ezért számít az eszközhigiénia annyira, mint az erős jelszavak.

Mit jelent ez számodra

Ha kódot írsz, szervereket adminisztrálsz, vagy privát projektekhez hozzáféréssel rendelkező AI-asszisztenseket használsz, kezeld a munkaállomásodat széfként. A rajta tárolt titkok gyakran többet érnek, mint bármelyik jelszó.

Még ha nem is vagy fejlesztő, a tanulság érvényes. A böngészők munkamenet-sütiket tárolnak, és az ezeket olvasó kártevő eltérítheti az MFA-val védett fiókokat. A kockázat abból ered, hogy az eszköz fertőzött, ezért az eszköz tisztán tartása része minden rajta használt fiók védelmének.

Gyakorlati lépések a hitelesítő adatok védelmére

  • Vizsgáld felül, hol élnek a titkok. Keress API-kulcsokat, tokeneket és hitelesítő adatokat egyszerű szöveges fájlokban, környezeti fájlokban, shell-előzményekben és projektmappákban. Helyezd át őket egy dedikált titokkezelőbe vagy az operációs rendszered biztonságos tárolójába.
  • Védd az SSH-kulcsokat. Használj jelmondatot a privát kulcsokon, és ahol lehetséges, fontold meg hardveralapú kulcsokat, hogy a kulcsot ne lehessen egyszerűen lemásolni.
  • Forgasd le mindazt, ami esetleg ki lehetett téve. Ha gyanítod, hogy egy eszköz fertőzött volt, vonj vissza és adj ki újra tokeneket, SSH-kulcsokat és felhőbeli hitelesítő adatokat egy tiszta eszközről. Jelentkezz ki mindenhol az aktív munkamenetekből.
  • Térj át adathalászatnak ellenálló MFA-ra. A passkey-ek és a hardverbiztonsági kulcsok sokkal jobban ellenállnak az adathalászatnak, mint az SMS vagy az alkalmazáskódok, bár egyetlen MFA sem oldja meg teljesen a tokenlopást egy fertőzött gépről.
  • Tartsd tisztán az eszközöket. Telepíts frissítéseket, használj jó hírű végpontvédelmet, kerüld az ellenőrizetlen szkriptek vagy csomagok futtatását, és légy óvatos a letöltésekkel és e-mail-mellékletekkel.
  • Korlátozd a jogosultságokat és az élettartamokat. Használj rövid élettartamú tokeneket és a lehető legszűkebb jogosultságokat, hogy egy ellopott hitelesítő adat kevesebbet érjen.

A tanulság

Az Aokigahara infostealer AI-kódoló eszközöket célzó kampánya megmutatja, hogy a támadók a hitelesítő adatokat követik, és ezek ma már ugyanúgy az AI-asszisztensekben és fejlesztői környezetekben vannak, mint a jelszómezőkben. Kezdd azzal, hogy felméred, hol tárolódnak a titkaid, forgasd le az esetleg kitéve volt tokeneket és kulcsokat, és térj át adathalászatnak ellenálló MFA-ra. Ha többet szeretnél arról, hogyan fordítják a támadók az AI-fejlesztőeszközöket a saját előnyükre, olvasd el jelentésünket az AI-kódoló eszközök támadásokban való kihasználásáról.