تحقیقات اخیر نشان از ظهور یک بدافزار سرقت اطلاعات (Infostealer) جدید به نام Aokigahara دارد. این بدافزار که احتمالاً در نسخه‌های قبلی با نام‌های Kamidere یا Stygian شناخته می‌شد، با یک رویکرد متفاوت، به‌طور مشخص ابزارهای هوش مصنوعی (AI) و محیط‌های توسعه‌دهندگان را هدف قرار می‌دهد.
تمرکز ویژه بر هوش مصنوعی و ابزارهای توسعه
برخلاف بدافزارهای سنتی که تنها بر رمزهای عبور مرورگرها و کیف پول‌های ارز دیجیتال تمرکز دارند، Aokigahara قابلیت‌های جدیدی برای جمع‌آوری داده‌های مرتبط با اپلیکیشن‌های هوش مصنوعی و ابزارهای توسعه اضافه کرده است. این بدافزار به‌دنبال سرقت فایل‌های احراز هویت، داده‌های نشست (Session Data) و فایل‌های پیکربندی مربوط به ابزارهای زیر است:
- ابزارهای هوش مصنوعی: Claude، ChatGPT Desktop، Codex، Cursor، Windsurf، GitHub Copilot و Gemini CLI.
- محیط‌های ابری و توسعه: اعتبارنامه‌های AWS، Azure و Google Cloud، کلیدهای خصوصی SSH، فایل‌های اعتبارنامه Git و ابزارهای JetBrains.
سرقت توکن‌های نشست (Session Tokens) یا اعتبارنامه‌های این سرویس‌ها می‌تواند به مهاجمان اجازه دهد بدون نیاز به رمز عبور، به سرویس‌های پولی هوش مصنوعی دسترسی پیدا کرده، از حساب‌های سرقت شده استفاده کنند یا داده‌های حساس و مکالمات خصوصی توسعه‌دهندگان را استخراج نمایند.
قابلیت‌های سنتی و گسترده
علاوه بر اهداف جدید، Aokigahara همچنان قابلیت‌های کلاسیک یک Infostealer را داراست، از جمله:
- گرفتن اسکرین‌شات (Screenshot) و ضبط کلیپ‌بورد (Clipboard).
- سرقت کوکی‌ها و اطلاعات ورود از مرورگرهای مبتنی بر Chromium و Mozilla Firefox.
- استخراج داده‌های کیف پول‌های ارز دیجیتال (Cryptocurrency Wallets).
- دسترسی به پیام‌رسان‌هایی مانند Discord و Telegram و پلتفرم‌های بازی مانند Steam و Roblox.
- سرقت تنظیمات VPN، کلاینت‌های FTP/SFTP و مدیریت‌کننده‌های رمز عبور (Password Managers).
تحلیل فنی و مکانیزم‌های ضد تحلیل
این بدافزار از تکنیک‌های پیشرفته‌ای برای فرار از شناسایی استفاده می‌کند. Aokigahara دارای مکانیزم‌های Anti-Analysis است که محیط‌های مجازی (VM)، Sandbox و محیط‌های Debugging را شناسایی کرده و در صورت مشاهده، اجرای خود را متوقف می‌کند. همچنین، این بدافزار بر اساس زبان سیستم (Language Check)، از اجرای خود در برخی مناطق جغرافیایی خاص (مانند روسیه، اوکراین و کشورهای آسیای میانه) خودداری می‌کند.
در بخش ارتباطات شبکه، بدافزار از پروتکل‌های رمزنگاری‌شده برای ارسال داده‌ها به سرور فرماندهی و کنترل (C2) استفاده می‌کند. فرآیند انتقال داده‌ها شامل تبادل کلید X25519 و استفاده از رمزنگاری AES-256-GCM برای بسته‌های ارسالی است تا از شناسایی ترافیک مخرب توسط سیستم‌های امنیتی جلوگیری شود.
نتیجه‌گیری برای مدیران امنیت
ظهور Aokigahara نشان‌دهنده تغییر استراتژی عامل‌های تهدید (Threat Actors) است؛ آن‌ها اکنون به دنبال دارایی‌های دیجیتالی جدیدی هستند که در عصر هوش مصنوعی ارزش بالایی دارند. سازمان‌ها باید علاوه بر نظارت بر مرورگرها و کیف پول‌ها، بر امنیت نشست‌ها (Sessions) و اعتبارنامه‌های مربوط به ابزارهای توسعه و سرویس‌های ابری نیز تمرکز ویژه‌ای داشته باشند.
