Infostealer Aokigahara hat Logins von KI-Assistenten und Zugangsdaten von Entwicklern im Visier

Was Aokigahara einsammelt

CPR beschreibt Aokigahara als einen Infostealer, der in freier Wildbahn entdeckt wurde. Wie andere Informationsdiebe zielt er auf Browser-Passwörter und Cookies, Kryptowährungs-Wallets, E-Mail-Anwendungen, Passwortmanager, VPNs und weitere Software. Was ihn laut den Forschern unterscheidet, ist die gezielte Ausrichtung auf KI-Anwendungen und Entwicklungswerkzeuge.

Die Sammelroutinen decken unter anderem Claude, ChatGPT Desktop, Codex, Cursor, Windsurf, GitHub Copilot, Gemini CLI und JetBrains AI Assistant ab. Je nach Anwendung können die anvisierten Dateien Authentifizierungstoken, Zugangsdaten oder Sitzungsinformationen enthalten, die möglicherweise Zugriff auf den jeweiligen Dienst verschaffen. CPR weist darauf hin, dass nicht jede anvisierte Datei zwingend ein Authentifizierungsgeheimnis enthält.

So funktioniert die Schadsoftware

Ist Aokigahara auf einem kompromittierten Gerät aktiv, kommen eigene Sammelmodule zum Einsatz. Ein auf KI ausgerichtetes Modul durchsucht das System nach Authentifizierungs-, Sitzungs- und Konfigurationsdateien, die mit den KI-Werkzeugen verbunden sind. Ein separates Modul nimmt die gesamte Entwicklungsumgebung ins Visier: Git-Credential-Dateien, SSH-bezogene Dateien, die private Schlüssel enthalten können, sowie Zugangs- und Konfigurationsdateien für AWS, Azure und Google Cloud.

Die gestohlenen Daten werden in verschlüsselte ZIP-Archive verpackt und auf den Command-and-Control-Server der Angreifer hochgeladen. Laut CPR sortiert die Malware die Informationen vor Abschluss des Uploads nach Art der Erfassung, darunter eine eigene Kategorie für KI-Sitzungsdaten.

CPR betont, dass die KI- und die Entwicklermodule getrennt voneinander arbeiten. Die Untersuchung belege daher nicht, dass Angreifer diese Zugangsdaten gezielt zu einem einzigen Angriffspfad verknüpfen. Dass sie in einem einzigen Infostealer auftauchen, zeige aber, wie viele wertvolle Zugangspunkte sich auf einem einzigen Entwicklerrechner befinden können.

Mögliche Folgen und was nicht bestätigt ist

Wenn gültige Zugangsdaten oder Sitzungstoken gestohlen werden, könnten Angreifer womöglich auf einen KI-Dienst zugreifen, ohne das Passwort des Nutzers einzugeben. Je nach Dienst und Konto könnten dadurch laut CPR private Unterhaltungen, Quellcode oder andere sensible Informationen offengelegt werden. Denkbar sei auch die unbefugte Nutzung kostenpflichtiger KI-Dienste oder der Weiterverkauf kompromittierter Konten. Die Forscher verweisen zudem auf ein mögliches Erpressungsrisiko, falls Angreifer gestohlene Unterhaltungen, Dateien oder Code als Druckmittel einsetzen.

Diese Szenarien werden als mögliche, nicht als beobachtete Folgen dargestellt. CPR hat nicht bestätigt, dass die Betreiber von Aokigahara gestohlene KI-Zugangsdaten weiterverwendet oder verkauft haben, und auch nicht, wie sie die Daten zu Geld machen. Erpressungsversuche haben die Forscher ebenfalls nicht beobachtet.

Empfehlungen für Unternehmen

Check Point plädiert dafür, KI-Zugangsdaten und authentifizierte Sitzungen wie andere sensible Identitätsressourcen zu behandeln. Die Empfehlungen für Unternehmen lauten:

• KI-Zugangsdaten und Sitzungen schützen: Token, Authentifizierungsdateien und Anwendungssitzungen als sensible Zugangsdaten behandeln.
• Kontrollieren, was mit KI geteilt wird: klare Richtlinien für Quellcode, Geschäftsdaten und vertrauliche Informationen festlegen, die in KI-Dienste eingegeben werden.
• Entwicklungsumgebungen absichern: Git-Zugangsdaten, SSH-Schlüssel und Cloud-Zugangsdaten auf Entwickler-Endgeräten schützen.
• Endgeräte auf Infostealer überwachen: Wird das Gerät kompromittiert, können Angreifer gleich mehrere Zugangsdaten und Anwendungen auf einmal erbeuten.
• Zugriffe nach einer Kompromittierung prüfen: KI-Sitzungen und -Zugangsdaten bei der Untersuchung von Credential-Abflüssen neben Browser-, Cloud- und Entwickler-Zugangsdaten einbeziehen.

Die übergeordnete Botschaft von CPR: Es genügt nicht, nur zu schützen, was Mitarbeitende in KI-Tools eintippen. Auch die Logins und Sitzungen, die Zugang zu diesen Tools gewähren, müssen geschützt werden, besonders wenn sie auf denselben Endgeräten liegen wie Quellcode, Git-Zugangsdaten und Cloud-Zugänge.