Infostealer-ul Aokigahara vânează sesiunile ChatGPT, Claude, Codex și Cursor

Un infostealer nou observat pentru Windows, urmărit sub numele Aokigahara, merge mult dincolo de parolele din browser și portofelele crypto obișnuite. Include un modul construit special care scanează mașinile infectate după tokenurile de autentificare, fișierele de sesiune și bazele de date locale ale asistenților AI și ale instrumentelor de programare cu AI, printre care ChatGPT Desktop, Claude Code, Claude Desktop, Codex și Cursor.

Să fie clar de la început: nu vorbim despre o breșă la vreun furnizor de AI. Malware-ul fură ce există deja pe un endpoint compromis. Însă un token de sesiune valid este, de multe ori, tot ce are nevoie un atacator ca să intre într-un cont fără să tasteze vreodată o parolă.

Ce s-a întâmplat

Aokigahara vine cu un modul de colectare etichetat intern aisessions. Pe un host Windows infectat caută:

• fișierele de credențiale și folderele aplicației desktop Claude
• fișierele de autentificare, configurare și mediu ale Codex
• bazele de date din local storage ale Cursor
• cache-ul aplicației ChatGPT Desktop

Aria sa se extinde la Windsurf, GitHub Copilot, Gemini CLI, JetBrains AI Assistant, Amazon Q și Kiro, iar în plus interoghează Windows Credential Manager pentru secrete stocate. Nu orice fișier colectat conține neapărat un token utilizabil, dar țintirea este deliberată.

Un al doilea modul, ide, lărgește plasa către credențiale Git, chei SSH și configurări AWS, Azure și Google Cloud. Pe lângă acestea, Aokigahara face tot ce face un stealer clasic: credențiale și cookie-uri din browser, capturi de ecran, conținutul clipboard-ului, date din portofele, aplicații de mesagerie, VPN și clienți de email. Lasă în urmă și o componentă de tip clipper care urmărește clipboard-ul după adrese de criptomonede.

Familia pare o evoluție a unui stealer mai vechi cunoscut drept Kamidere sau Stygian. Modul în care operatorii monetizează datele furate nu a fost stabilit.

Cum funcționează

• Verificările anti-analiză sunt opționale și controlate din configurație: prezența unui debugger, urme de mașină virtuală, resurse hardware, numărul de procese active și mișcarea mouse-ului. Malware-ul se oprește și atunci când limba tastaturii sau a interfeței Windows face parte dintr-un grup exclus, care include rusa, ucraineana și câteva limbi regionale.
• O configurație criptată (AES-256-CBC) decide ce module de colectare rulează și păstrează adresele serverelor și destinațiile de rezervă. Modulele dezactivate rămân în binar, așa că o mostră poate fi capabilă de mai mult decât face într-o singură rulare.
• Exfiltrarea împachetează datele în arhive ZIP, criptează fiecare upload cu AES-256-GCM după un schimb de chei X25519 și le trimite în etape: un handshake, unul sau mai multe fragmente pentru fiecare categorie, apoi un mesaj de finalizare. Traficul se ascunde în spatele unui User-Agent care imită Windows, ceea ce, singur, nu este o dovadă de infecție.

Până acum au fost identificate aproximativ 150 de mostre distincte și există deja semnături publice de detecție bazate pe șiruri precum AISessions/, aokigahara și kamidere.

De ce contează

Dezvoltatorii păstrează astăzi o cantitate enormă de context în instrumentele AI: conversații private, documente încărcate, fragmente din repository-uri, decizii de arhitectură și, în configurațiile agentice, cheile pe care le folosesc acei agenți. O sesiune furată poate expune toate acestea, îi poate permite unui atacator să consume cota plătită, să revândă contul sau să șantajeze victima cu conținut sensibil de business. Acestea sunt scenarii plauzibile, nu comportament confirmat al operatorilor, dar riscul decurge direct din cât timp rămâne valid un token furat.

Lecția incomodă este că fișierele de sesiune AI merită aceeași protecție ca parolele din browser și cheile cloud, iar majoritatea planurilor de răspuns la incidente nu le tratează încă așa.

Ce e de făcut

1. Adăugați sesiunile instrumentelor AI în planul de răspuns la infostealeri. Aflați unde stochează Claude, Codex, Cursor, Copilot și ChatGPT tokenurile pe endpoint-urile voastre și includeți acele căi în triajul forensic.
2. Monitorizați procesele neașteptate care citesc depozitele de autentificare AI, bazele de date ale editoarelor, fișierele de credențiale cloud și materialul SSH. Corelați indicatorii de rețea cu dovezile de pe endpoint, în loc să îi tratați separat ca probe suficiente.
3. După o infecție suspectată, izolați dispozitivul, apoi, de pe un sistem curat, revocați sesiunile AI, rotiți cheile API, cheile SSH și credențialele cloud și verificați conturile de repository și cloud conectate.
4. Nu vă opriți la resetarea parolei. Sesiunile furate pot rămâne utilizabile după schimbarea parolei. Închideți-le explicit și verificați activitatea conturilor AI pentru accesări pe care nu le recunoașteți.
5. Verificați ce era accesibil. Stabiliți ce conversații, fișiere încărcate și proiecte putea vedea contul compromis și tratați acel conținut ca expus.

Jurnalele unui stealer rareori rămân la primul atacator; tokenurile, cookie-urile și credențialele ajung de regulă în pachete tranzacționate pe piețele underground în câteva zile. Serviciul de monitorizare Deep/Dark Web de la 4tify urmărește acele canale după domeniile, conturile și cheile organizației voastre, astfel încât o sesiune AI scursă să poată fi revocată înainte ca altcineva să o folosească.

Indicatori de compromitere

C2 (defanged)
2[.]26[.]252[.]48:8080
dfwioeiofwr[.]info
gate[.]dfwioeiofwr[.]info
dobeqnesmot[.]cc
hjazfioe[.]surf
kkeyyou[.]cc
neihite[.]cc
somelitersofblood[.]pw

Upload paths:   /gate/handshake  /gate/chunk  /gate/complete
User-Agent:     Microsoft-CryptoAPI/10.0
Marker strings: STGC  AISessions/  aokigahara  kamidere
Clipper drop:   C:\Microsoft\Vault  (SHA-1 8d6c86e0af7807f9b5baf15e9f076bb81e012515)

Adresele IP și domeniile sunt dezactivate intenționat. Reactivați-le doar în instrumente controlate de threat intelligence, cum ar fi SIEM-ul vostru sau o instanță MISP.