Onderzoekers van Check Point Research (CPR) hebben Aokigahara ontdekt, een infostealer, oftewel kwaadaardige software die ontworpen is om persoonlijke en professionele gegevens te stelen. Dit recent waargenomen programma beperkt zich niet tot browserwachtwoorden: het richt zich ook op inloggegevens en sessiedata van ChatGPT Desktop, Claude, Codex, Cursor, Windsurf, GitHub Copilot, Gemini CLI en andere AI- en ontwikkeltools.
Een specifieke capaciteit voor AI-tools
Eenmaal geïnstalleerd op een apparaat zoekt Aokigahara naar waardevolle informatie: browserinloggegevens, cookies (kleine bestanden die een verbinding openhouden), cryptovalutaportefeuilles, maar ook authenticatiebestanden, sessiedata en configuraties die gelinkt zijn aan AI-, ontwikkel- en cloudtools. De gegevens worden gebundeld in versleutelde archieven en vervolgens naar de command-and-controlserver van de malware gestuurd, wat aanvallers toegang kan geven tot meerdere inloggegevens vanaf hetzelfde gecompromitteerde apparaat.
Wat Aokigahara onderscheidt, is zijn capaciteit genaamd ‘aisessions’, die zich onder meer richt op Claude, ChatGPT Desktop, Codex, Cursor, Windsurf, GitHub Copilot en Gemini CLI. Als de gestolen authenticatietokens geldig zijn, zouden ze toegang kunnen geven tot een account zonder het wachtwoord van de gebruiker, waardoor privégesprekken, ontwikkeldata en betaalde AI-diensten in gevaar komen. CPR kan niet bevestigen of de operatoren deze inloggegevens hebben hergebruikt of doorverkocht, maar de malware is bewust ontworpen om ze te verzamelen.
De werkplek van de ontwikkelaar, toegangspoort tot vele diensten
De malware richt zich ook op Git-inloggegevens, SSH-gerelateerde bestanden, en AWS-, Azure- en Google Cloud-inloggegevens en configuraties. Ook de ontwikkelomgevingen VS Code, Cursor, Windsurf en de JetBrains-producten worden getarget. Zo kan één enkel apparaat toegang bevatten tot AI-assistenten, broncoderepositories, cloudomgevingen en ontwikkeldiensten.
CPR benadrukt dat de capaciteiten gerelateerd aan AI en ontwikkeling werken als afzonderlijke modules, en dat het onderzoek niet aantoont dat aanvallers ze bewust in éénzelfde aanval combineren. Hun gezamenlijke aanwezigheid illustreert echter wel de hoeveelheid hoogwaardige toegangen die de computer van een moderne ontwikkelaar kan bevatten. Gecompromitteerde inloggegevens zouden ook onbevoegd gebruik van betaalde AI-diensten kunnen mogelijk maken, extra kosten kunnen genereren of doorverkocht kunnen worden, terwijl gevoilige gesprekken of bestanden de weg kunnen openen voor afpersing, een activiteit die CPR niet heeft waargenomen bij de operatoren van Aokigahara.
Jarenlang richtten infostealers zich vooral op wachtwoorden, browsersessies, financiële informatie en cryptovaluta. Met het toenemende gebruik van AI-assistenten naast code en bedrijfsdata, worden AI-sessies en -inloggegevens een extra identiteitsactief. Voor organisaties betekent dit dat ze niet alleen moeten beschermen wat medewerkers in deze diensten invoeren, maar ook de tokens en sessies die er toegang toe geven, en deze moeten meenemen bij de incidentrespons na een compromittering van een werkplek.
Eli Smadja, hoofd onderzoek bij Check Point Research, verklaarde: «In de toekomst zal het beveiligen van AI steeds meer betekenen dat niet alleen de modellen en de data die erin gaan beveiligd moeten worden, maar ook de identiteiten en toegangen eromheen.»
