Инфостилер Aokigahara крадет данные ИИ-сервисов и ключи разработчиков

Новый инфостилер Aokigahara нацелен на кражу данных из ИИ-сервисов и ключей разработчиков. Ранее вредоносное ПО могло быть известно как Kamidere или Stygian. Программа обладает традиционными функциями кражи данных из браузеров, VPN-клиентов, криптовалютных кошельков, FTP/SFTP-клиентов, менеджеров паролей и почтовых приложений.

Aokigahara собирает аутентификационные файлы и данные сессий ИИ-сервисов

Среди целей Aokigahara — ИИ-приложения и инструменты разработки. Стилер собирает файлы аутентификации, данные сессий и конфигурационные файлы, связанные с Claude, ChatGPT Desktop, Codex, Cursor, Windsurf, GitHub Copilot, Gemini CLI и другими инструментами. Кража учетных данных ИИ-сервисов может привести к их монетизации. Использование украденных учетных данных или токенов сессий позволит получить несанкционированный доступ к платным ИИ-сервисам или перепродать скомпрометированные аккаунты. Область сбора данных также охватывает среды разработчиков и облачные среды. Целями являются файлы учетных данных Git, приватные SSH-ключи, а также файлы учетных данных и конфигурации AWS, Azure и Google Cloud.

Вредоносное ПО нацелено на пользователей ИИ-сервисов и разработчиков ПО

Aokigahara нацелен на пользователей ИИ-сервисов и разработчиков программного обеспечения. Это отражает изменение ценности данных для злоумышленников. Теперь они нацелены не только на личные аккаунты и финансовые данные, но и на доступ к ИИ-сервисам и средам, которые разработчики используют для создания ПО. Действительные учетные данные или токены сессий могут раскрыть частные переписки и данные разработки, разрешить несанкционированное использование платных сервисов или быть проданными для получения доступа к скомпрометированным ИИ-аккаунтам. Анализ не подтверждает, как операторы вредоносного ПО монетизируют украденные данные.

Обновиться до актуальной версии или установить плагин безопасности

Инфостилер Aokigahara включает стандартные возможности кражи информации, такие как захват скриншотов, сбор данных из буфера обмена, кражу учетных данных и cookie-файлов браузера, сбор данных криптовалютных кошельков и извлечение файлов. Он также включает обработчик клипперов, который разворачивает отдельный компонент для манипуляции буфером обмена. Вредоносное ПО нацелено на браузеры на основе Chromium и Mozilla Firefox, десктопные криптовалютные кошельки и браузерные расширения кошельков, мессенджеры, такие как Discord и Telegram, и игровые платформы, такие как Steam, Roblox и Minecraft. Дополнительные цели включают менеджеры паролей, VPN-клиенты, FTP/SFTP-клиенты, почтовые приложения и инструменты разработки ИИ. Вредоносное ПО также собирает локальные данные из редакторов кода и инструментов разработчиков, включая VS Code, Cursor, Windsurf и продукты JetBrains. Оно передает содержимое соответствующих файлов в подпрограмму загрузки вредоносного ПО. Если будут обнаружены пригодные для использования секреты, злоумышленники могут получить доступ к репозиториям исходного кода, облачным ресурсам и другим сервисам разработки. Инфостилер включает несколько известных проверок защиты от анализа, большинство из которых выполняются только при включении соответствующих флагов конфигурации. Результаты этих проверок определяют, продолжает ли вредоносное ПО выполнение. Оно также динамически разрешает функции Windows API с использованием хешей и использует сглаживание потока управления в некоторых частях кода, особенно вокруг процедуры расшифровки конфигурации. Когда включен флаг проверки языка, вредоносное ПО проверяет раскладку клавиатуры системы и язык пользовательского интерфейса Windows. Если какой-либо из них совпадает с идентификатором языка, представленным в битовой маске 0x6C0400C8601, вредоносное ПО прекращает выполнение. Второй флаг конфигурации включает проверки среды анализа, включая обнаружение отладки, обнаружение виртуальной машины и обнаружение песочницы. Проверки защиты от отладки включают проверку флагов, связанных с отладчиком, в блоке среды процесса (PEB), запросы порта отладки процесса и объекта отладки, проверку строки отладочного вывода, проверку регистров аппаратных точек останова (DR0–DR3). Вредоносное ПО проверяет наличие индикаторов виртуализированных или аналитических сред, включая идентификаторы гипервизора, полученные с помощью инструкции CPUID, записи реестра и запущенные процессы, связанные с гостевыми инструментами виртуальной машины, отпечатки прошивки и BIOS системы управления (SMBIOS), низкое количество запущенных процессов, подозрительные имена пользователей и имена компьютеров, характеристики дисплея и доступные аппаратные ресурсы. Вредоносное ПО также сравнивает имена пользователей и имена компьютеров со строками, обычно связанными с тестовыми или аналитическими средами. Проверенные строки включают "sandbox", "malware", "virus", "sample", "test", "user", "admin", "CurrentUser", "John", "Peter", "JOHN", "John Doe", "WDAGUtilityAccount". Дополнительные проверки отслеживают движение курсора и количество запущенных процессов. Эти сигналы могут помочь вредоносному ПО идентифицировать автоматизированные среды анализа.