محققان شرکت Check Point از کشف یک بدافزار جدید از نوع Infostealer (سرقت‌گر اطلاعات) به نام Aokigahara خبر داده‌اند که با تمرکز بر ابزارهای هوش مصنوعی (AI) و محیط‌های توسعه (Development Environments)، رویکرد سنتی حملات سرقت داده را تغییر داده است.
این بدافزار که برخلاف نمونه‌های مشابه، به‌طور ویژه ابزارهای مبتنی بر هوش مصنوعی را هدف قرار می‌دهد، می‌تواند از طریق سرقت فایل‌های احراز هویت (Authentication files)، داده‌های نشست (Session data) و فایل‌های پیکربندی (Configuration files)، دسترسی‌های حساس را به سرقت ببرد. ابزارهایی نظیر ChatGPT Desktop، Claude، GitHub Copilot، Cursor، Windsurf و Gemini CLI در لیست اهداف این بدافزار قرار دارند.
توسعه دامنه حملات: از سرقت حساب تا نفوذ به ابر
Aokigahara تنها به دنبال اطلاعات شخصی نیست؛ بلکه هدف اصلی آن دسترسی به زیرساخت‌های حیاتی سازمان‌هاست. با سرقت کلیدهای خصوصی SSH، اطلاعات دسترسی Git و فایل‌های پیکربندی سرویس‌های ابری مانند AWS، Azure و Google Cloud، مهاجمان می‌توانند به محیط‌های ابری سازمان نفوذ کنند. علاوه بر این، سرقت تاریخچه گفتگوها (Conversation history) در ابزارهای هوش مصنوعی، پتانسیل بالایی برای باج‌گیری (Extortion) ایجاد می‌کند، چرا که این گفتگوها اغلب حاوی کدهای منبع اختصاصی (Proprietary source code) و اطلاعات تجاری حساس هستند.
مکانیزم عملکرد و مقابله
این بدافزار دارای قابلیت‌های ضد شناسایی (Anti-detection) است و محیط‌های تحلیل مانند ماشین‌های مجازی (Virtual Machines) و Sandbox را بررسی می‌کند. پس از جمع‌آوری داده‌ها، آن‌ها را در قالب آرشیوهای Zip رمزگذاری‌شده به سرورهای مهاجم ارسال می‌کند.
برای مقابله با این تهدید، تیم‌های امنیتی باید اقدامات زیر را در دستور کار قرار دهند:
- مدیریت هویت: برخورد با داده‌های احراز هویت ابزارهای هوش مصنوعی مشابه با اعتبارنامه‌های ابری (Cloud credentials) و کلیدهای توسعه‌دهندگان.
- حملات شکار (Threat Hunting): بررسی فعالیت‌های مشکوک در فایل‌های ذخیره‌سازی محلی مربوط به دستیاران هوش مصنوعی و محیط‌های IDE.
- کاهش سطح دسترسی: استفاده از اعتبارنامه‌های کوتاه‌مدت (Short-lived credentials) و مدیریت هویت (Managed Identity) برای کاهش اثرات سرقت کلیدهای بلندمدت.
- چرخش کلیدها: در صورت مشکوک شدن به سرایت (Infection) در یک نقطه پایانی (Endpoint)، بلافاصله نشست‌های (Sessions) فعال، کلیدهای API، اعتبارنامه‌های GitHub و توکن‌های ابری را بازنشانی (Rotate) کنید.
