infostealer ที่เพิ่งถูกตรวจพบชื่อ Aokigahara กำลังไล่ล่าจุดที่นักพัฒนามักเก็บความลับที่มีค่าที่สุดของตน นั่นคือผู้ช่วยเขียนโค้ด AI เวิร์กสเตชันของนักพัฒนา และข้อมูลรับรองคลาวด์ แคมเปญ Aokigahara infostealer ที่มุ่งเป้าเครื่องมือเขียนโค้ด AI นี้เป็นเครื่องเตือนใจว่าผู้โจมตีให้ความสนใจรหัสผ่านของคุณน้อยลงเรื่อย ๆ และสนใจโทเค็น คีย์ และไฟล์เซสชันที่อุปกรณ์ของคุณเก็บไว้อย่างเงียบ ๆ มากขึ้น

รายละเอียดสาธารณะเกี่ยวกับมัลแวร์นี้มีจำกัด บทความนี้จึงยึดตามสิ่งที่ได้รับการรายงานและอธิบายว่าเทคนิคนี้สำคัญอย่างไร

Aokigahara ขโมยข้อมูลเข้าสู่ระบบและโทเค็นเซสชันอย่างไร

ตามรายงาน Aokigahara เป็น infostealer ซึ่งเป็นมัลแวร์ประเภทหนึ่งที่ทำงานบนเครื่องที่ติดเชื้อ เก็บไฟล์ที่ละเอียดอ่อนและข้อมูลที่จัดเก็บไว้ แล้วส่งไปยังผู้โจมตี เป้าหมายที่ได้รับการรายงานได้แก่ผู้ช่วยเขียนโค้ด AI เวิร์กสเตชันของนักพัฒนา และข้อมูลรับรองคลาวด์ โดยรายการเด่นคือโทเค็นเข้าสู่ระบบ คีย์ SSH และข้อมูลการเข้าถึงคลาวด์

infostealer ไม่จำเป็นต้องเจาะบัญชีด้วยวิธีที่ยาก เมื่อมัลแวร์ทำงานบนอุปกรณ์แล้ว มันสามารถอ่านไฟล์ที่แอปพลิเคชันทิ้งไว้เพื่อให้คุณยังคงลงชื่อเข้าใช้อยู่ นั่นคือเหตุผลที่แล็ปท็อปเครื่องเดียวที่ติดเชื้อสามารถเปิดเผยหลายบริการได้ในคราวเดียว ทั้งเบราว์เซอร์ โปรแกรมแก้ไขโค้ด บรรทัดคำสั่ง และเครื่องมือคลาวด์ใด ๆ ที่กำหนดค่าไว้บนเครื่องเดียวกัน

บทความต้นฉบับสั้น所以我们ไม่สามารถบอกได้ว่า Aokigahara ถูกส่งมอบอย่างไรหรือมีคนได้รับผลกระทบกี่คน เราจะไม่เดา สิ่งที่ชัดเจนคือประเภทของข้อมูลที่มันต้องการ และประเภทนั้นก็ควรค่าแก่การทำความเข้าใจด้วยตัวมันเอง

ทำไมเครื่องของนักพัฒนาและบัญชีคลาวด์จึงเป็นเป้าหมายที่มีมูลค่าสูง

เครื่องของนักพัฒนามีข้อมูลrich ผิดปกติ เวิร์กสเตชันทั่วไปอาจเก็บคีย์ SSH สำหรับเซิร์ฟเวอร์และที่เก็บโค้ด ข้อมูลรับรองการเข้าถึงคลาวด์ โทเค็น API และสถานะการลงชื่อเข้าใช้สำหรับผู้ช่วย AI ดังนั้นอุปกรณ์เดียวที่ถูกบุกรุกจึงอาจเป็นบันไดไปสู่ซอร์สโค้ด โครงสร้างพื้นฐาน และระบบโปรดักชัน

ผู้ช่วยเขียนโค้ด AI เพิ่มอีกชั้นหนึ่ง พวกมันมักได้รับการรับรองความถูกต้องเป็นเวลานานและเชื่อมโยงกับโค้ดและโปรเจกต์ส่วนตัว หากผู้โจมตีได้รับโทเค็นที่พิสูจน์ว่าคุณลงชื่อเข้าใช้อยู่ พวกเขาอาจสามารถกระทำการในนามของคุณโดยไม่เคยเห็นรหัสผ่านของคุณเลย

สิ่งนี้สอดคล้องกับรูปแบบที่กว้างขึ้นของผู้โจมตีที่หันมาสนใจเครื่องมือพัฒนา AI สำหรับบริบทที่กว้างขึ้น โปรดดูรายงานของเราเกี่ยวกับ วิธีที่ Claude Code ถูกใช้เป็นอาวุธในเหตุโจมตีแรนซัมแวร์แบบอัตโนมัติ ซึ่งแสดงให้เห็นว่าเครื่องมือเหล่านี้สามารถถูกนำไปใช้ในทางที่ผิดจากทิศทางที่แตกต่างออกไปได้อย่างไร

ทำไมโทเค็นเซสชันที่ถูกขโมยจึงข้าม MFA ได้

การรับรองความถูกต้องหลายปัจจัย (MFA) ปกป้องช่วงเวลาของการลงชื่อเข้าใช้ มันขอสิ่งที่เกินกว่ารหัสผ่านของคุณ เช่น รหัสหรือข้อความแจ้ง แต่หลังจากคุณผ่านการตรวจสอบนั้น บริการจะออกคุกกี้เซสชันหรือโทเค็นที่ระบุว่า ผู้ใช้นี้ได้รับการยืนยันแล้ว

หากมัลแวร์คัดลอกโทเค็นนั้น ผู้โจมตีสามารถนำเสนอต่อบริการและข้ามขั้นตอนการลงชื่อเข้าใช้ไปได้เลย ไม่มีรหัสผ่านให้เดาและไม่มีรหัสให้ดักจับ เพราะหลักฐานการยืนยันถูกขโมยไปแล้ว คีย์ SSH ทำงานคล้ายกัน คีย์ส่วนตัวบนดิสก์สามารถรับรองความถูกต้องกับเซิร์ฟเวอร์ได้โดยไม่ต้องมีปัจจัยที่สอง เว้นแต่คีย์นั้นจะได้รับการปกป้อง

นี่ไม่ได้หมายความว่า MFA ไร้ประโยชน์ มันยังคงบล็อกการยึดบัญชีส่วนใหญ่ โดยเฉพาะที่อาศัยรหัสผ่านที่รั่วไหล มันเพียงแต่ช่วยไม่ได้เมื่ออุปกรณ์เองถูกบุกรุกและโทเค็นถูกลักไป นั่นคือเหตุผลที่สุขอนามัยของอุปกรณ์สำคัญพอ ๆ กับรหัสผ่านที่แข็งแกร่ง

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณเขียนโค้ด ดูแลเซิร์ฟเวอร์ หรือใช้ผู้ช่วย AI ที่เข้าถึงโปรเจกต์ส่วนตัว ให้ปฏิบัติต่อเวิร์กสเตชันของคุณเสมือนห้องนิรภัย ความลับที่จัดเก็บไว้ในนั้นมักมีค่ามากกว่ารหัสผ่านใด ๆ เพียงอย่างเดียว

แม้คุณไม่ใช่นักพัฒนา บทเรียนนี้ก็ใช้ได้ เบราว์เซอร์เก็บคุกกี้เซสชัน และมัลแวร์ที่อ่านพวกมันสามารถ hijack บัญชีที่ได้รับการปกป้องด้วย MFA ความเสี่ยงมาจากอุปกรณ์ที่ติดเชื้อ ดังนั้นการรักษาอุปกรณ์ให้สะอาดจึงเป็นส่วนหนึ่งของการปกป้องทุกบัญชีที่คุณใช้บนอุปกรณ์นั้น

ขั้นตอนปฏิบัติเพื่อปกป้องข้อมูลรับรองของคุณ

  • ตรวจสอบว่าความลับอยู่ที่ใด ตรวจสอบคีย์ API โทเค็น และข้อมูลรับรองในไฟล์ข้อความธรรมดา ไฟล์สภาพแวดล้อม ประวัติเชลล์ และโฟลเดอร์โปรเจกต์ ย้าย它們ไปยังตัวจัดการความลับเฉพาะหรือที่จัดเก็บที่ปลอดภัยของระบบปฏิบัติการของคุณ
  • ปกป้องคีย์ SSH ใช้รหัสผ่านบนคีย์ส่วนตัว และพิจารณาคีย์ที่หนุนด้วยฮาร์ดแวร์เมื่อเป็นไปได้ เพื่อให้คีย์ไม่สามารถถูกคัดลอกได้ง่าย ๆ
  • หมุนเวียนทุกสิ่งที่อาจถูกเปิดเผย หากคุณสงสัยว่าอุปกรณ์ติดเชื้อ ให้เพิกถอนและออกโทเค็น คีย์ SSH และข้อมูลรับรองคลาวด์ใหม่จากอุปกรณ์ที่สะอาด ลงชื่อออกจากเซสชันที่ใช้งานอยู่ทุกที่
  • เปลี่ยนไปใช้ MFA ที่ต้านทานฟิชชิง พาสคีย์และคีย์ความปลอดภัยแบบฮาร์ดแวร์ต้านทานฟิชชิงได้ดีกว่ารหัส SMS หรือแอปมาก แม้ว่าไม่มี MFA ใดแก้ปัญหาการขโมยโทเค็นจากเครื่องที่ติดเชื้อได้อย่างสมบูรณ์
  • รักษาอุปกรณ์ให้สะอาด ติดตั้งอัปเดต ใช้การป้องกันปลายทางที่น่าเชื่อถือ หลีกเลี่ยงการเรียกใช้สคริปต์หรือแพ็กเกจที่ไม่ได้ตรวจสอบ และระวังการดาวน์โหลดและไฟล์แนบอีเมล
  • จำกัดสิทธิ์และอายุการใช้งาน ใช้โทเค็นที่มีอายุสั้นและสิทธิ์ที่แคบที่สุดเท่าที่ทำงานได้ เพื่อให้ข้อมูลรับรองที่ถูกขโมยมีค่าน้อยลง

บทสรุป

แคมเปญ Aokigahara infostealer ที่มุ่งเป้าเครื่องมือเขียนโค้ด AI แสดงให้เห็นว่าผู้โจมตีกำลังติดตามข้อมูลรับรอง และตอนนี้ข้อมูลเหล่านั้นอยู่ในผู้ช่วย AI และสภาพแวดล้อมของนักพัฒนาไม่แพ้ในช่องกรอกรหัสผ่าน เริ่มต้นด้วยการตรวจสอบว่าความลับของคุณถูกจัดเก็บไว้ที่ใด หมุนเวียนโทเค็นและคีย์ใด ๆ ที่อาจถูกเปิดเผย และเปลี่ยนไปใช้ MFA ที่ต้านทานฟิชชิง สำหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีที่ผู้โจมตีเปลี่ยนเครื่องมือพัฒนา AI ให้เป็นประโยชน์ต่อพวกเขา โปรดอ่านรายงานของเราเกี่ยวกับ เครื่องมือเขียนโค้ด AI ที่ถูกนำไปใช้ในทางที่ผิดในการโจมตี