Нещодавно виявлений infostealer під назвою Aokigahara полює на місця, де розробники зберігають свої найцінніші секрети: помічники з програмування на базі ШІ, робочі станції розробників і хмарні облікові дані. Кампанія Aokigahara infostealer проти інструментів ШІ для програмування є нагадуванням про те, що зловмисники дедалі менше цікавляться вашим паролем і дедалі більше — токенами, ключами та файлами сесій, які ваші пристрої тихо зберігають.

Публічні дані про цю шкідливу програму обмежені, тому ця стаття обмежується тим, що було повідомлено, і пояснює, чому ця техніка важлива.

Як Aokigahara викрадає логіни та токени сесій

Згідно з повідомленнями, Aokigahara є infostealer — типом шкідливого програмного забезпечення, яке запускається на інфікованій машині, збирає конфіденційні файли та збережені дані й надсилає їх зловмиснику. Серед його заявлених цілей — помічники з програмування на базі ШІ, робочі станції розробників і хмарні облікові дані, а головні елементи — це токени входу, SSH-ключі та матеріали доступу до хмари.

Infostealers не потребують складного злому облікового запису. Щойно шкідлива програма запускається на пристрої, вона може читати файли, які застосунки залишають, щоб підтримувати ваш вхід. Саме тому один інфікований ноутбук може одразу наразити на ризик кілька сервісів: браузер, редактор коду, командний рядок і будь-які хмарні інструменти, налаштовані на тій самій машині.

Стаття-джерело коротка, тому ми не можемо сказати, як поширюється Aokigahara або скільки людей постраждало. Ми не будемо здогадуватися. Зрозуміло одне: категорія даних, які він прагне отримати, і цю категорію варто розуміти окремо.

Чому розробники та хмарні облікові записи є високоцінними цілями

Машини розробників надзвичайно багаті на дані. Типова робоча станція може містити SSH-ключі для серверів і репозиторіїв коду, облікові дані доступу до хмари, API-токени та стан входу для помічників зі ШІ. Тому один скомпрометований пристрій може стати трампліном до вихідного коду, інфраструктури та виробничих систем.

Помічники з програмування на базі ШІ додають ще один рівень. Вони часто автентифіковані протягом тривалих періодів і пов'язані з приватним кодом і проєктами. Якщо зловмисник отримає токен, який підтверджує ваш вхід, він може діяти від вашого імені, навіть не бачачи вашого пароля.

Це вписується в ширшу тенденцію, коли зловмисники звертають увагу на інструменти розробки на базі ШІ. Для ширшого контексту дивіться нашу статтю про те, як Claude Code було використано як зброю в автономній атаці програм-вимагачів, яка показує, як ці інструменти можна зловживати з іншого боку.

Чому викрадені токени сесій обходять MFA

Багатофакторна автентифікація (MFA) захищає момент входу. Вона вимагає чогось, крім вашого пароля, наприклад коду або запиту. Але після того, як ви проходите цю перевірку, сервіс видає сесійний cookie або токен, який, по суті, каже: цей користувач уже підтверджений.

Якщо шкідлива програма копіює цей токен, зловмисник може пред'явити його сервісу й повністю пропустити крок входу. Немає пароля, який треба вгадати, і немає коду, який треба перехопити, бо доказ підтвердження вже викрадено. SSH-ключі працюють схожим чином: приватний ключ на диску може автентифікуватися на сервері без будь-якого другого фактора, якщо сам ключ не захищений.

Це не означає, що MFA марна. Вона все ще блокує значну частку захоплень облікових записів, особливо тих, що покладаються на витеклі паролі. Вона просто не може допомогти, коли сам пристрій скомпрометовано і токени викрадено з нього. Саме тому гігієна пристроїв важлива так само, як і надійні паролі.

Що це означає для вас

Якщо ви пишете код, адмініструєте сервери або використовуєте помічників зі ШІ з доступом до приватних проєктів, ставтеся до своєї робочої станції як до сховища. Секрети, що зберігаються на ній, часто цінніші за будь-який окремий пароль.

Навіть якщо ви не розробник, цей урок застосовний. Браузери зберігають сесійні cookie, і шкідлива програма, яка їх читає, може викрасти облікові записи, захищені MFA. Ризик походить від інфікування пристрою, тому підтримання його в чистоті є частиною захисту кожного облікового запису, який ви на ньому використовуєте.

Практичні кроки для захисту ваших облікових даних

  • Проведіть аудит того, де зберігаються секрети. Перевірте на наявність API-ключів, токенів і облікових даних у текстових файлах, файлах середовища, історії оболонки та папках проєктів. Перемістіть їх до спеціального менеджера секретів або захищеного сховища вашої операційної системи.
  • Захистіть SSH-ключі. Використовуйте парольну фразу для приватних ключів і, де можливо, розгляньте апаратно захищені ключі, щоб ключ не можна було просто скопіювати.
  • Змініть усе, що могло бути скомпрометовано. Якщо ви підозрюєте, що пристрій було інфіковано, відкличте та перевипустіть токени, SSH-ключі й хмарні облікові дані з чистого пристрою. Вийдіть з активних сесій усюди.
  • Перейдіть на MFA, стійку до фішингу. Passkeys і апаратні ключі безпеки протистоять фішингу набагато краще, ніж SMS або коди в застосунках, хоча жодна MFA не вирішує повністю проблему викрадення токенів з інфікованої машини.
  • Тримайте пристрої в чистоті. Встановлюйте оновлення, використовуйте надійний захист кінцевих точок, уникайте запуску неперевірених скриптів або пакетів і будьте обережні з завантаженнями та вкладеннями електронної пошти.
  • Обмежуйте привілеї та терміни дії. Використовуйте короткоживучі токени та найвужчі дозволи, які працюють, щоб викрадені облікові дані коштували менше.

Головний висновок

Кампанія Aokigahara infostealer проти інструментів ШІ для програмування показує, що зловмисники йдуть за обліковими даними, а вони тепер містяться в помічниках зі ШІ та середовищах розробників так само, як і в полях паролів. Почніть з аудиту того, де зберігаються ваші секрети, змініть будь-які токени та ключі, що могли бути скомпрометовані, і переходьте на MFA, стійку до фішингу. Докладніше про те, як зловмисники використовують інструменти розробки на базі ШІ на свою користь, читайте в нашій статті про зловживання інструментами ШІ для програмування в атаках.