El infostealer Aokigahara caza sesiones de ChatGPT, Claude, Codex y Cursor

Un infostealer para Windows recién observado, identificado como Aokigahara, va mucho más allá de las contraseñas de navegador y las carteras cripto habituales. Incorpora un módulo diseñado a medida que rastrea las máquinas infectadas en busca de tokens de inicio de sesión, archivos de sesión y bases de datos locales de asistentes de IA y herramientas de programación con IA, entre ellas ChatGPT Desktop, Claude Code, Claude Desktop, Codex y Cursor.

Que quede claro desde el principio: no se trata de una brecha en ningún proveedor de IA. El malware roba lo que ya está almacenado en un endpoint comprometido. Pero un token de sesión válido suele ser todo lo que necesita un atacante para entrar en una cuenta sin teclear jamás una contraseña.

Qué ocurrió

Aokigahara incluye un módulo de recolección etiquetado internamente como aisessions. En un equipo Windows infectado busca:

• archivos de credenciales y carpetas de la aplicación de escritorio de Claude
• archivos de autenticación, configuración y entorno de Codex
• bases de datos de almacenamiento local de Cursor
• la caché de la aplicación ChatGPT Desktop

Su alcance se extiende a Windsurf, GitHub Copilot, Gemini CLI, JetBrains AI Assistant, Amazon Q y Kiro, y además consulta el Administrador de credenciales de Windows en busca de secretos guardados. No todos los archivos que captura contienen necesariamente un token utilizable, pero la selección de objetivos es deliberada.

Un segundo módulo, ide, amplía la red a credenciales de Git, claves SSH y configuraciones de AWS, Azure y Google Cloud. Por si fuera poco, Aokigahara hace todo lo que hace un stealer convencional: credenciales y cookies de navegador, capturas de pantalla, contenido del portapapeles, datos de carteras, mensajería, VPN y clientes de correo. También deja caer un componente clipper que vigila el portapapeles en busca de direcciones de criptomonedas.

La familia parece ser una evolución de un stealer anterior conocido como Kamidere o Stygian. Cómo convierten sus operadores los datos robados en dinero no está establecido.

Cómo opera

• Las comprobaciones antianálisis son opcionales y dependen de la configuración: presencia de un depurador, rastros de máquina virtual, recursos de hardware, número de procesos en ejecución y movimiento del ratón. El malware también se detiene cuando el idioma del teclado o de la interfaz de Windows pertenece a un grupo excluido, que incluye ruso, ucraniano y varias lenguas regionales.
• Una configuración cifrada (AES-256-CBC) decide qué módulos de recolección se ejecutan y guarda direcciones de servidores y destinos alternativos. Los módulos desactivados permanecen incrustados en el binario, de modo que la capacidad real de una muestra puede superar lo que hace en una ejecución concreta.
• La exfiltración empaqueta el botín en archivos ZIP, cifra cada subida con AES-256-GCM tras un intercambio de claves X25519 y la envía por etapas: un handshake, uno o más fragmentos por categoría y, por último, un mensaje de finalización. El tráfico se esconde tras un User-Agent con apariencia de Windows, que por sí solo no demuestra una infección.

Hasta ahora se han identificado alrededor de 150 muestras distintas y ya existen firmas públicas de detección basadas en cadenas como AISessions/, aokigahara y kamidere.

Por qué importa

Los desarrolladores guardan hoy una cantidad enorme de contexto dentro de las herramientas de IA: conversaciones privadas, documentos subidos, fragmentos de repositorios, decisiones de arquitectura y, en entornos agénticos, las claves que usan esos agentes. Una sesión robada puede exponer todo eso, permitir que un atacante consuma el uso de pago, revenda la cuenta o extorsione a la víctima con contenido empresarial sensible. Son escenarios plausibles, no conducta confirmada de los operadores, pero el riesgo se deriva directamente de cuánto tiempo sigue siendo válido un token robado.

La lección incómoda es que los archivos de sesión de IA merecen la misma protección que las contraseñas de navegador y las claves en la nube, y la mayoría de los planes de respuesta a incidentes todavía no los tratan así.

Qué hacer

1. Incluya las sesiones de herramientas de IA en su plan contra infostealers. Sepa dónde guardan los tokens Claude, Codex, Cursor, Copilot y ChatGPT en sus endpoints e incorpore esas rutas al triaje forense.
2. Vigile los procesos inesperados que lean almacenes de autenticación de IA, bases de datos de editores, archivos de credenciales en la nube y material SSH. Combine los indicadores de red con evidencias del endpoint en lugar de tratar cualquiera de ellos como prueba suficiente.
3. Ante una infección sospechada, aísle el dispositivo y, desde un sistema limpio, revoque las sesiones de IA, rote las claves API, las claves SSH y las credenciales en la nube, y revise las cuentas de repositorio y de nube conectadas.
4. No se quede en el restablecimiento de contraseña. Las sesiones robadas pueden seguir siendo válidas después de cambiarla. Ciérrelas de forma explícita y revise la actividad de las cuentas de IA en busca de accesos que no reconozca.
5. Revise qué era accesible. Determine qué conversaciones, archivos subidos y proyectos podía ver la cuenta comprometida y trate ese contenido como expuesto.

Los registros de un stealer rara vez se quedan con el primer atacante: tokens, cookies y credenciales suelen empaquetarse y venderse en mercados clandestinos en cuestión de días. El servicio de monitorización de la Deep/Dark Web de 4tify vigila esos canales en busca de los dominios, cuentas y claves de su organización, para que una sesión de IA filtrada pueda revocarse antes de que otra persona llegue a usarla.

Indicadores de compromiso

C2 (defanged)
2[.]26[.]252[.]48:8080
dfwioeiofwr[.]info
gate[.]dfwioeiofwr[.]info
dobeqnesmot[.]cc
hjazfioe[.]surf
kkeyyou[.]cc
neihite[.]cc
somelitersofblood[.]pw

Upload paths:   /gate/handshake  /gate/chunk  /gate/complete
User-Agent:     Microsoft-CryptoAPI/10.0
Marker strings: STGC  AISessions/  aokigahara  kamidere
Clipper drop:   C:\Microsoft\Vault  (SHA-1 8d6c86e0af7807f9b5baf15e9f076bb81e012515)

Las direcciones IP y los dominios están neutralizados a propósito. Restáurelos únicamente dentro de herramientas controladas de inteligencia de amenazas, como su SIEM o una instancia de MISP.