O infostealer Aokigahara caça sessões do ChatGPT, Claude, Codex e Cursor

Um infostealer para Windows recentemente observado, identificado como Aokigahara, vai muito além das palavras-passe de browser e das carteiras cripto habituais. Traz um módulo construído de propósito que vasculha as máquinas infetadas à procura de tokens de autenticação, ficheiros de sessão e bases de dados locais de assistentes de IA e ferramentas de programação com IA, incluindo ChatGPT Desktop, Claude Code, Claude Desktop, Codex e Cursor.

Para que fique claro desde o início: não se trata de uma violação de nenhum fornecedor de IA. O malware rouba o que já está guardado num endpoint comprometido. Mas um token de sessão válido é, muitas vezes, tudo o que um atacante precisa para entrar numa conta sem nunca digitar uma palavra-passe.

O que aconteceu

O Aokigahara inclui um módulo de recolha rotulado internamente como aisessions. Numa máquina Windows infetada procura:

• ficheiros de credenciais e pastas da aplicação de desktop do Claude
• ficheiros de autenticação, configuração e ambiente do Codex
• bases de dados de armazenamento local do Cursor
• a cache da aplicação ChatGPT Desktop

O seu alcance estende-se ao Windsurf, GitHub Copilot, Gemini CLI, JetBrains AI Assistant, Amazon Q e Kiro, e consulta ainda o Gestor de Credenciais do Windows à procura de segredos guardados. Nem todos os ficheiros que recolhe contêm necessariamente um token utilizável, mas a escolha dos alvos é deliberada.

Um segundo módulo, ide, alarga a rede a credenciais Git, chaves SSH e configurações de AWS, Azure e Google Cloud. Além disso, o Aokigahara faz tudo o que um stealer convencional faz: credenciais e cookies de browser, capturas de ecrã, conteúdo da área de transferência, dados de carteiras, mensagens, VPN e clientes de e-mail. Deixa também um componente clipper que vigia a área de transferência à procura de endereços de criptomoedas.

A família parece ser uma evolução de um stealer anterior conhecido como Kamidere ou Stygian. A forma como os operadores transformam os dados roubados em dinheiro não está estabelecida.

Como funciona

• As verificações anti-análise são opcionais e dependem da configuração: presença de um depurador, vestígios de máquina virtual, recursos de hardware, número de processos em execução e movimento do rato. O malware também se encerra quando o idioma do teclado ou da interface do Windows pertence a um grupo excluído, que inclui russo, ucraniano e várias línguas regionais.
• Uma configuração cifrada (AES-256-CBC) decide que módulos de recolha são executados e guarda endereços de servidores e destinos alternativos. Os módulos desativados continuam embutidos no binário, pelo que a capacidade real de uma amostra pode exceder o que faz numa única execução.
• A exfiltração empacota o espólio em arquivos ZIP, cifra cada envio com AES-256-GCM após uma troca de chaves X25519 e envia-o por etapas: um handshake, um ou mais fragmentos por categoria e, por fim, uma mensagem de conclusão. O tráfego esconde-se atrás de um User-Agent com aspeto de Windows, o que por si só não prova uma infeção.

Até agora foram identificadas cerca de 150 amostras distintas e já existem assinaturas públicas de deteção baseadas em cadeias como AISessions/, aokigahara e kamidere.

Porque é importante

Os programadores guardam hoje uma quantidade enorme de contexto dentro das ferramentas de IA: conversas privadas, documentos carregados, excertos de repositórios, decisões de arquitetura e, em configurações agênticas, as chaves que esses agentes utilizam. Uma sessão roubada pode expor tudo isso, permitir que um atacante consuma a utilização paga, revenda a conta ou extorqua a vítima com conteúdo empresarial sensível. São cenários plausíveis, não comportamento confirmado dos operadores, mas o risco decorre diretamente do tempo durante o qual um token roubado se mantém válido.

A lição desconfortável é que os ficheiros de sessão de IA merecem a mesma proteção que as palavras-passe de browser e as chaves de cloud, e a maioria dos planos de resposta a incidentes ainda não os trata dessa forma.

O que fazer

1. Inclua as sessões das ferramentas de IA no seu plano contra infostealers. Saiba onde o Claude, o Codex, o Cursor, o Copilot e o ChatGPT guardam tokens nos seus endpoints e acrescente esses caminhos à triagem forense.
2. Monitorize processos inesperados que leiam repositórios de autenticação de IA, bases de dados de editores, ficheiros de credenciais de cloud e material SSH. Cruze os indicadores de rede com as evidências do endpoint em vez de tratar qualquer um deles como prova suficiente.
3. Perante uma infeção suspeita, isole o dispositivo e, a partir de um sistema limpo, revogue as sessões de IA, rode as chaves API, as chaves SSH e as credenciais de cloud, e reveja as contas de repositório e de cloud ligadas.
4. Não fique pela reposição da palavra-passe. As sessões roubadas podem continuar válidas depois da alteração. Termine-as explicitamente e verifique a atividade das contas de IA à procura de acessos que não reconheça.
5. Reveja o que estava acessível. Determine que conversas, ficheiros carregados e projetos a conta comprometida conseguia ver e trate esse conteúdo como exposto.

Os registos de um stealer raramente ficam com o primeiro atacante: tokens, cookies e credenciais são normalmente agrupados e vendidos em mercados clandestinos em poucos dias. O serviço de monitorização da Deep/Dark Web da 4tify vigia esses canais à procura dos domínios, contas e chaves da sua organização, para que uma sessão de IA exposta possa ser revogada antes de alguém a utilizar.

Indicadores de compromisso

C2 (defanged)
2[.]26[.]252[.]48:8080
dfwioeiofwr[.]info
gate[.]dfwioeiofwr[.]info
dobeqnesmot[.]cc
hjazfioe[.]surf
kkeyyou[.]cc
neihite[.]cc
somelitersofblood[.]pw

Upload paths:   /gate/handshake  /gate/chunk  /gate/complete
User-Agent:     Microsoft-CryptoAPI/10.0
Marker strings: STGC  AISessions/  aokigahara  kamidere
Clipper drop:   C:\Microsoft\Vault  (SHA-1 8d6c86e0af7807f9b5baf15e9f076bb81e012515)

Os endereços IP e os domínios estão neutralizados de propósito. Reative-os apenas em ferramentas controladas de threat intelligence, como o seu SIEM ou uma instância MISP.