Pesquisadores da Check Point Research identificaram em circulação o Aokigahara, um novo malware do tipo infostealer, especializado em roubar dados. Uma versão anterior pode ter sido conhecida como Kamidere ou Stygian. O que chama atenção é um módulo dedicado a aplicativos de inteligência artificial e ferramentas de desenvolvimento.
Esse módulo coleta arquivos de autenticação, dados de sessão e configurações de Claude, ChatGPT Desktop, Codex, Cursor, Windsurf, GitHub Copilot e Gemini CLI. O malware também mira credenciais do Git, chaves SSH privadas e arquivos de configuração de AWS, Azure e Google Cloud, além dos alvos tradicionais: navegadores, carteiras de criptomoedas, gerenciadores de senha, VPNs, e-mail, Discord, Telegram e plataformas de jogos como Steam e Roblox.
Para os pesquisadores, isso mostra uma mudança no que os criminosos consideram valioso. Com tokens válidos, um invasor pode usar serviços de IA pagos na conta da vítima, revender o acesso ou ler históricos de conversa e arquivos enviados, que muitas vezes incluem código-fonte e informações sigilosas de empresas — o que abre espaço também para extorsão. A análise, porém, não confirma como os operadores lucram com os dados.
O Aokigahara tem várias técnicas para escapar de análise, como detectar máquinas virtuais, depuradores e ambientes de teste, e pode parar de rodar dependendo do idioma do sistema. A comunicação com o servidor de comando é cifrada, e o malware parece estar em desenvolvimento ativo.
A recomendação da Check Point é tratar credenciais e sessões de ferramentas de IA com o mesmo cuidado dado a senhas do navegador, chaves de nuvem e chaves de desenvolvedor.
Fonte: Check Point Research