Un infostealer observat recent, numit Aokigahara, vizează locurile în care dezvoltatorii își păstrează cele mai valoroase secrete: asistenții de programare AI, stațiile de lucru ale dezvoltatorilor și acreditările cloud. Campania Aokigahara Infostealer împotriva instrumentelor de programare AI este un memento că atacatorii sunt din ce în ce mai puțin interesați de parola ta și mai mult de tokenurile, cheile și fișierele de sesiune pe care dispozitivele tale le stochează discret.

Detaliile publice despre acest malware sunt limitate, așa că acest articol se limitează la ceea ce a fost raportat și explică de ce tehnica este importantă.

Cum fură Aokigahara datele de autentificare și tokenurile de sesiune

Conform raportărilor, Aokigahara este un infostealer, un tip de malware care rulează pe o mașină infectată, colectează fișiere sensibile și date stocate și le trimite unui atacator. Țintele raportate includ asistenți de programare AI, stații de lucru ale dezvoltatorilor și acreditări cloud, elementele principale fiind tokenurile de autentificare, cheile SSH și materialul de acces cloud.

Infostealerii nu au nevoie să spargă un cont pe calea grea. Odată ce malware-ul rulează pe un dispozitiv, acesta poate citi fișierele pe care aplicațiile le lasă în urmă pentru a te menține autentificat. De aceea, un singur laptop infectat poate expune simultan mai multe servicii: browserul, editorul de cod, linia de comandă și orice instrument cloud configurat pe aceeași mașină.

Articolul sursă este scurt, așa că nu putem spune cum este livrat Aokigahara sau câte persoane au fost afectate. Nu vom face speculații. Ceea ce este clar este categoria de date pe care le vizează, iar acea categorie merită înțeleasă de la sine.

De ce dezvoltatorii și conturile cloud sunt ținte de mare valoare

Mașinile dezvoltatorilor sunt neobișnuit de bogate. O stație de lucru tipică poate conține chei SSH pentru servere și depozite de cod, acreditări de acces cloud, tokenuri API și starea de autentificare pentru asistenții AI. Un singur dispozitiv compromis poate fi astfel o trambulină către codul sursă, infrastructură și sisteme de producție.

Asistenții de programare AI adaugă un alt strat. Aceștia sunt adesea autentificați pentru perioade lungi și legați de cod privat și proiecte. Dacă un atacator obține tokenul care dovedește că ești autentificat, acesta ar putea acționa în numele tău fără să-ți vadă vreodată parola.

Aceasta se încadrează într-un model mai larg al atacatorilor care își îndreaptă atenția către instrumentele de dezvoltare AI. Pentru un context mai amplu, consultați materialul nostru despre cum Claude Code a fost transformat în armă într-un atac autonom de ransomware, care arată cum aceste instrumente pot fi abuzate dintr-o direcție diferită.

De ce tokenurile de sesiune furate ocolesc MFA

Autentificarea multi-factor (MFA) protejează momentul autentificării. Aceasta solicită ceva dincolo de parolă, cum ar fi un cod sau o solicitare. Dar după ce treci de această verificare, serviciul emite un cookie de sesiune sau un token care spune, în esență, că acest utilizator este deja verificat.

Dacă malware-ul copiază acel token, un atacator îl poate prezenta serviciului și poate sări complet peste pasul de autentificare. Nu există nicio parolă de ghicit și niciun cod de interceptat, deoarece dovada verificării a fost deja furată. Cheile SSH funcționează similar: o cheie privată de pe disc poate autentifica la un server fără niciun al doilea factor, cu excepția cazului în care cheia în sine este protejată.

Aceasta nu înseamnă că MFA este inutilă. Ea blochează în continuare o mare parte a preluărilor de conturi, în special pe cele care se bazează pe parole scurse. Pur și simplu nu poate ajuta odată ce dispozitivul în sine este compromis și tokenurile sunt extrase de pe acesta. De aceea igiena dispozitivelor contează la fel de mult ca parolele puternice.

Ce înseamnă acest lucru pentru tine

Dacă scrii cod, administrezi servere sau folosești asistenți AI cu acces la proiecte private, tratează-ți stația de lucru ca pe un seif. Secretele stocate pe ea valorează adesea mai mult decât orice parolă individuală.

Chiar dacă nu ești dezvoltator, lecția se aplică. Browserele stochează cookie-uri de sesiune, iar malware-ul care le citește poate deturna conturi care erau protejate prin MFA. Riscul provine din infectarea dispozitivului, așa că menținerea acestuia curat face parte din protejarea fiecărui cont pe care îl folosești pe el.

Pași practici pentru a-ți proteja acreditările

  • Auditează unde se află secretele. Verifică dacă există chei API, tokenuri și acreditări în fișiere text simplu, fișiere de mediu, istoricul shell-ului și folderele de proiect. Mută-le într-un manager dedicat de secrete sau în stocarea securizată a sistemului tău de operare.
  • Protejează cheile SSH. Folosește o frază de acces pentru cheile private și ia în considerare cheile cu suport hardware acolo unde este posibil, astfel încât cheia să nu poată fi pur și simplu copiată.
  • Rotește orice ar putea fi expus. Dacă suspectezi că un dispozitiv a fost infectat, revocă și reemite tokenurile, cheile SSH și acreditările cloud de pe un dispozitiv curat. Deconectează-te de la sesiunile active peste tot.
  • Treci la MFA rezistentă la phishing. Passkeys și cheile de securitate hardware rezistă mult mai bine la phishing decât SMS-urile sau codurile din aplicații, deși nicio MFA nu rezolvă complet furtul de tokenuri de pe o mașină infectată.
  • Menține dispozitivele curate. Instalează actualizări, folosește protecție endpoint de încredere, evită rularea de scripturi sau pachete neverificate și fii precaut cu descărcările și atașamentele din e-mail.
  • Limitează privilegiile și duratele de viață. Folosește tokenuri de scurtă durată și cele mai restrânse permisiuni care funcționează, astfel încât o acreditare furată să valoreze mai puțin.

Concluzia

Campania Aokigahara Infostealer împotriva instrumentelor de programare AI arată că atacatorii urmăresc acreditările, iar acestea se află acum în asistenții AI și în mediile dezvoltatorilor la fel de mult ca în câmpurile de parolă. Începe prin a audita unde sunt stocate secretele tale, rotește orice tokenuri și chei care ar fi putut fi expuse și treci la MFA rezistentă la phishing. Pentru mai multe despre cum atacatorii transformă instrumentele de dezvoltare AI în avantajul lor, citiți raportul nostru despre instrumentele de programare AI abuzate în atacuri.