Um infostealer recém-identificado, chamado Aokigahara, está mirando assistentes de programação com inteligência artificial (IA), estações de trabalho de desenvolvedores e credenciais de nuvem, ampliando o roubo de credenciais para além de navegadores e carteiras de criptomoedas.
Os alvos incluem Claude Code e Desktop, ChatGPT Desktop, Codex, Cursor, Windsurf, GitHub Copilot, Gemini CLI e JetBrains AI Assistant.
Em vez de explorar uma vulnerabilidade identificada nesses produtos, o malware vasculha o armazenamento local dos aplicativos em busca de arquivos potencialmente valiosos. No entanto, nem todo arquivo de configuração visado necessariamente contém segredos de autenticação utilizáveis.
O módulo dedicado aisessions do Aokigahara coleta arquivos de autenticação e configuração do Codex, credenciais do Claude, bancos de dados de estado do Cursor e do Windsurf e o armazenamento do GitHub Copilot.
O escopo de coleta também abrange Amazon Q, Kiro, credenciais da AWS (Amazon Web Services) e caches de login único (single sign-on) da AWS. A rotina ainda consulta o Gerenciador de Credenciais do Windows, ampliando a coleta além de arquivos comuns.
Tokens utilizáveis poderiam permitir que invasores acessem contas de IA comprometidas, consumam serviços pagos ou exponham conversas privadas e informações de desenvolvimento. A revenda de acesso representa outra possível via de monetização.
A análise da Check Point, entretanto, não estabelece como os operadores monetizam de fato o material roubado nem confirma que cada sessão coletada permanece válida.
Seus achados indicam que a coleta de credenciais de IA surgiu em versões mais recentes, conectando a análise mais recente a uma capacidade de roubo em evolução, e não a uma família de malware totalmente separada.
A Check Point Research documentou o malware, em operação real, e identificou rotinas dedicadas que coletam arquivos de autenticação, dados de sessão e arquivos de configuração de aplicativos de IA amplamente usados. Versões anteriores podem ter circulado com os nomes Kamidere ou Stygian.
Ferramentas de programação com IA em foco
Um módulo separado, chamado ide, vasculha editores de código e ambientes de desenvolvimento, incluindo Visual Studio Code, Cursor, Windsurf e produtos da JetBrains.
Os alvos incluem arquivos de credenciais do Git, arquivos da pasta .ssh que podem conter chaves privadas do protocolo SSH (Secure Shell), e arquivos de credenciais e configuração da AWS, Azure e Google Cloud. Os conteúdos correspondentes são enviados à rotina de envio do malware.
Isso cria uma exposição potencial que vai além de assinaturas individuais de IA. Segredos válidos roubados podem dar acesso a repositórios, recursos de nuvem e serviços de desenvolvimento conectados.
O impacto prático depende da validade das credenciais, de suas permissões e de os arquivos coletados realmente conterem segredos recuperáveis.
As capacidades tradicionais continuam amplas: roubo de senhas e cookies de navegadores, capturas de tela, coleta da área de transferência, furto de carteiras de criptomoedas e roubo de dados de aplicativos de mensagens, e-mail, VPN (rede privada virtual), FTP (Protocolo de Transferência de Arquivos) e gerenciadores de senhas.
Um componente separado, descartado no sistema, lida com a manipulação da área de transferência. Os formatos de carteira visados por ele permanecem não confirmados.
O malware armazena sua configuração criptografada na seção .stgcfg e a descriptografa usando AES-256-CBC (Advanced Encryption Standard de 256 bits, no modo CBC).
Os campos de configuração definem a infraestrutura de comando e controle (C2), uma chave pública X25519 do servidor (algoritmo de troca de chaves sobre curva elíptica), a seleção de módulos, configurações de fixação de certificados (certificate pinning) e URLs de contingência. Módulos desativados permanecem incorporados ao executável.
A exfiltração, ou envio de dados roubados para fora, usa /gate/handshake, /gate/chunk e /gate/complete. Uma troca X25519 estabelece o material de chave compartilhado, enquanto o SHA-256 (algoritmo de hash de 256 bits) deriva a chave usada para criptografar os arquivos ZIP coletados com AES-256-GCM (modo GCM do AES de 256 bits).
Os cabeçalhos de envio identificam os módulos de coleta e os números de sequência dos blocos.
A mensagem de conclusão marca o fim da fase de envio, e não uma confirmação independente de que todas as transferências tiveram sucesso.
Verificações opcionais contra análise inspecionam indicadores de depuradores, artefatos de virtualização, recursos de hardware, contagem de processos, movimentos do cursor e nomes de conta suspeitos. Verificações configuráveis de idioma também podem encerrar a execução. Juntos, esses controles dificultam a análise automatizada, ao mesmo tempo que permitem aos operadores selecionar capacidades de coleta para cada build individual.
Amostras recentes se comunicam usando o User-Agent Microsoft-CryptoAPI/10.0 (identificador enviado nas requisições), o que reflete o desenvolvimento contínuo entre as versões analisadas e as mudanças de configuração.
IOCs (indicadores de comprometimento)
Observação: endereços IP e domínios são intencionalmente desfigurados (por exemplo, [.]) para evitar resolução ou links acidentais. Reconverta-os apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (sistema de gestão de eventos e informações de segurança).
