Un infostealer recentemente osservato chiamato Aokigahara sta attaccando i luoghi in cui gli sviluppatori conservano i loro segreti più preziosi: assistenti di coding basati sull'IA, workstation degli sviluppatori e credenziali cloud. La campagna dell'infostealer Aokigahara contro gli strumenti di coding basati sull'IA è un promemoria del fatto che gli attaccanti si interessano sempre meno alla tua password e sempre più ai token, alle chiavi e ai file di sessione che i tuoi dispositivi memorizzano silenziosamente.

I dettagli pubblici su questo malware sono limitati, quindi questo articolo si attiene a quanto è stato riportato e spiega perché la tecnica è importante.

Come Aokigahara ruba i login e i token di sessione

Secondo quanto riportato, Aokigahara è un infostealer, un tipo di malware che viene eseguito su una macchina infetta, raccoglie file sensibili e dati memorizzati e li invia a un attaccante. I suoi obiettivi riportati includono assistenti di coding basati sull'IA, workstation degli sviluppatori e credenziali cloud, con gli elementi principali rappresentati da token di login, chiavi SSH e materiale di accesso al cloud.

Gli infostealer non hanno bisogno di violare un account nel modo più difficile. Una volta che il malware è in esecuzione su un dispositivo, può leggere i file che le applicazioni lasciano per mantenerti connesso. Ecco perché un singolo laptop infetto può esporre più servizi contemporaneamente: il browser, l'editor di codice, la riga di comando e qualsiasi strumento cloud configurato sulla stessa macchina.

L'articolo di origine è breve, quindi non possiamo dire come venga distribuito Aokigahara o quante persone siano state colpite. Non faremo supposizioni. Ciò che è chiaro è la categoria di dati che cerca, e quella categoria merita di essere compresa di per sé.

Perché gli sviluppatori e gli account cloud sono obiettivi di alto valore

Le macchine degli sviluppatori sono insolitamente ricche. Una tipica workstation può contenere chiavi SSH per server e repository di codice, credenziali di accesso al cloud, token API e lo stato di accesso per gli assistenti IA. Un singolo dispositivo compromesso può quindi essere un trampolino di lancio verso il codice sorgente, l'infrastruttura e i sistemi di produzione.

Gli assistenti di coding basati sull'IA aggiungono un ulteriore livello. Spesso sono autenticati per lunghi periodi e collegati a codice e progetti privati. Se un attaccante ottiene il token che dimostra che hai effettuato l'accesso, potrebbe essere in grado di agire come te senza mai vedere la tua password.

Questo rientra in un pattern più ampio di attaccanti che rivolgono la loro attenzione agli strumenti di sviluppo basati sull'IA. Per un contesto più ampio, consulta la nostra copertura su come Claude Code è stato trasformato in un'arma in un attacco ransomware autonomo, che mostra come questi strumenti possano essere abusati da una direzione diversa.

Perché i token di sessione rubati aggirano l'MFA

L'autenticazione a più fattori (MFA) protegge il momento del login. Richiede qualcosa oltre alla tua password, come un codice o un prompt. Ma dopo che superi quel controllo, il servizio emette un cookie o un token di sessione che dice, in sostanza, che questo utente è già verificato.

Se il malware copia quel token, un attaccante può presentarlo al servizio e saltare del tutto la fase di login. Non c'è nessuna password da indovinare e nessun codice da intercettare, perché la prova di verifica è già stata rubata. Le chiavi SSH funzionano in modo simile: una chiave privata su disco può autenticarsi a un server senza alcun secondo fattore, a meno che la chiave stessa non sia protetta.

Ciò non significa che l'MFA sia inutile. Blocca ancora una larga parte delle compromissioni di account, specialmente quelle che si basano su password trapelate. Semplicemente non può aiutare una volta che il dispositivo stesso è compromesso e i token vengono sottratti da esso. Ecco perché l'igiene dei dispositivi conta tanto quanto le password robuste.

Cosa significa per te

Se scrivi codice, amministri server o usi assistenti IA con accesso a progetti privati, tratta la tua workstation come una cassaforte. I segreti che vi sono memorizzati spesso valgono più di qualsiasi singola password.

Anche se non sei uno sviluppatore, la lezione si applica. I browser memorizzano i cookie di sessione, e il malware che li legge può dirottare account che erano protetti dall'MFA. Il rischio deriva dall'infezione del dispositivo, quindi mantenere quel dispositivo pulito fa parte della protezione di ogni account che usi su di esso.

Passi pratici per proteggere le tue credenziali

  • Verifica dove risiedono i segreti. Controlla la presenza di chiavi API, token e credenziali in file di testo in chiaro, file di ambiente, cronologia della shell e cartelle di progetto. Spostali in un gestore di segreti dedicato o nell'archivio sicuro del tuo sistema operativo.
  • Proteggi le chiavi SSH. Usa una passphrase sulle chiavi private e, ove possibile, considera chiavi supportate da hardware in modo che la chiave non possa essere semplicemente copiata.
  • Ruota tutto ciò che potrebbe essere esposto. Se sospetti che un dispositivo sia stato infetto, revoca e riemetti token, chiavi SSH e credenziali cloud da un dispositivo pulito. Disconnettiti dalle sessioni attive ovunque.
  • Passa all'MFA resistente al phishing. Le passkey e le chiavi di sicurezza hardware resistono al phishing molto meglio degli SMS o dei codici delle app, anche se nessun MFA risolve completamente il furto di token da una macchina infetta.
  • Mantieni i dispositivi puliti. Installa gli aggiornamenti, usa una protezione endpoint affidabile, evita di eseguire script o pacchetti non verificati e sii cauto con download e allegati email.
  • Limita i privilegi e le durate. Usa token a breve scadenza e i permessi più ristretti che funzionano, così una credenziale rubata vale meno.

Il punto chiave

La campagna dell'infostealer Aokigahara contro gli strumenti di coding basati sull'IA mostra che gli attaccanti seguono le credenziali, e queste ora risiedono negli assistenti IA e negli ambienti degli sviluppatori tanto quanto nei campi delle password. Inizia verificando dove sono memorizzati i tuoi segreti, ruota qualsiasi token e chiave che potrebbero essere stati esposti e passa all'MFA resistente al phishing. Per saperne di più su come gli attaccanti stanno volgendo a proprio vantaggio gli strumenti di sviluppo basati sull'IA, leggi il nostro report sugli strumenti di coding basati sull'IA abusati negli attacchi.