Стилер Aokigahara собирает данные ИИ-инструментов и облачных сервисов
Aokigahara, недавно обнаруженный стиллер для Windows, возможно, связан с ранее отслеживавшимися образцами вредоносного ПО Kamidere или Stygian. Он сочетает стандартный сбор данных с отдельными процедурами для получения информации из приложений с искусственным интеллектом, инструментов разработчиков и облачных сред.
Вредоносное ПО собирает снимки экрана, содержимое буфера обмена, учётные данные и файлы cookie браузеров, данные криптовалютных кошельков, файлы, а также информацию из приложений для обмена сообщениями и игр. Среди его целей также менеджеры паролей, VPN-клиенты, FTP- и SFTP-клиенты, почтовые приложения и расширения браузеров для работы с кошельками. Отдельный компонент-клиппер может изменять содержимое буфера обмена.
Модуль aisessions собирает файлы аутентификации, данные сессий и конфигурационную информацию из Claude, ChatGPT Desktop, Codex, Cursor, Windsurf, GitHub Copilot, Gemini CLI и других инструментов, связанных с ИИ. Aokigahara также нацелен на файлы учётных данных Git, закрытые ключи SSH, учётные данные и конфигурационные данные AWS, Azure и Google Cloud, а также информацию для единого входа (SSO). Украденные сессии или учётные данные могут обеспечить доступ к платным ИИ-сервисам, частным беседам, загруженным файлам, исходному коду, облачным средам и средам разработки.
Для противодействия анализу стиллер проверяет язык и раскладку клавиатуры, обнаруживает виртуальные машины и песочницы, отслеживает количество процессов, проверяет подозрительные имена пользователей и узлов, собирает отпечатки аппаратного обеспечения и дисплея и анализирует перемещение курсора. Среди других применяемых им методов указаны хешированное динамическое разрешение API и сглаживание потока управления.
Конфигурация Aokigahara зашифрована с помощью AES-256-CBC. Ключ выводится из фиксированного начального значения, а вектор инициализации хранится в секции .stgcfg. В конфигурацию входят URL-адреса C&C, открытый ключ X25519, идентификатор сборки, токен шлюза, битовая маска модулей, флаги противодействия анализу, параметры закрепления сертификатов и резервные URL-адреса.
Для обмена данными стиллер использует семейство конечных точек /gate. Сессию он устанавливает через /handshake, каждый собранный модуль загружает на конечную точку /chunk в виде ZIP-архива, зашифрованного AES-GCM, а об окончании загрузки сообщает через /complete. Вредоносное ПО генерирует пару ключей X25519, выводит ключ AES-GCM из общего секрета с помощью SHA-256 и строки aokigahara, а идентификаторы фрагментов помещает в заголовки HTTP. По всей видимости, Aokigahara активно разрабатывают, в том числе меняют его HTTP User-Agent.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
