Zum herkömmlichen Beutespektrum von Aokigahara gehören Browser, VPN-Clients, Kryptowährungs-Wallets, FTP- und SFTP-Clients, Passwortmanager und E-Mail-Anwendungen sowie weitere Programme und Dienste. Ungewöhnlich ist laut Check Point der zusätzliche Fokus auf KI-gestützte Werkzeuge. Betroffen sind unter anderem:

  • Claude
  • ChatGPT Desktop
  • Codex
  • Cursor
  • Windsurf
  • GitHub Copilot
  • Gemini CLI

Damit hebt sich die Schadsoftware von vielen derzeit aktiven Infostealern ab.

Nach einer Infektion durchsucht Aokigahara den Rechner nach sensiblen Daten: Browser-Passwörter, Sitzungscookies, Kryptowährungs-Wallets und Zugangsdaten, die KI-Assistenten wie ChatGPT, Claude, Cursor und GitHub Copilot hinterlegen. Zusätzlich durchforstet die Schadsoftware lokale Anwendungsdateien nach Authentifizierungstoken, API-Schlüsseln und anderen potenziell verwertbaren Informationen.

Ein zweiter Schwerpunkt liegt auf Entwickler- und Cloud-Zugangsdaten. Gesucht werden Git-Zugangsdaten, SSH-Schlüssel sowie Konfigurationsdateien für AWS, Azure und Google Cloud. Sind die erbeuteten Daten noch gültig und mit ausreichenden Berechtigungen versehen, eröffnen sie Angreifern laut Check Point den Zugriff auf private Code-Repositories oder Cloud-Ressourcen.

Zur Tarnung bringt Aokigahara eigene Mechanismen gegen Analyse und Erkennung mit. Die Schadsoftware prüft, ob sie in einer Analyseumgebung wie einer virtuellen Maschine oder einer Sandbox läuft. Die gestohlenen Daten packt sie in ZIP-Archive, verschlüsselt sie anschließend und übermittelt sie an Server unter Kontrolle der Angreifer.

Wirtschaftlich eröffnen die KI-Daten den Tätern Check Point zufolge neue Erlösquellen. Zugangsdaten oder Sitzungstoken ermöglichen den unbefugten Zugriff auf kostenpflichtige KI-Dienste oder den Weiterverkauf kompromittierter Konten. Darüber hinaus kommt Erpressung in Betracht: „Nutzer können sensible Geschäftsinformationen, proprietären Quellcode und anderes vertrauliches Material mit KI-Diensten teilen", heißt es in der Analyse. „Wenn gestohlene Zugangsdaten oder Sitzungstoken Zugriff auf Gesprächsverläufe oder hochgeladene Dateien geben, könnten Angreifer damit drohen, diese Informationen offenzulegen, um Zahlungen zu fordern."

Dass gestohlene Zugangsdaten für GitHub-Konten, private SSH-Schlüssel sowie Zugangs- und Konfigurationsdateien für AWS, Azure und Google Cloud für das Eindringen in Cloud-Umgebungen von Unternehmen genutzt werden, haben Angreifer bereits vorgeführt. Der Weg zur Erpressung von Organisationen, die ihre gestohlenen Daten gegen Lösegeld auslösen sollen, ist damit nach Einschätzung von Check Point bereitet.

Denis Calderone, Technikchef der Sicherheitsfirma Suzu Labs, ordnet den Wert der Beute so ein: „Gestohlene KI-Zugangsdaten können einem Angreifer eine reiche Ernte bescheren. Ein bezahltes KI-Abonnement ist ein weiterverkaufbarer Vermögenswert, und der dahinterliegende Gesprächsverlauf steckt oft voller proprietärem Code – diese gestohlenen Sitzungen haben damit neben ihrem Wiederverkaufswert auch einen Erpressungswert." Der KI-Assistent eines Entwicklers sei „ein Schlüsselbund", so Calderone: „Dieselbe Schadsoftware, die die Cursor- oder Copilot-Sitzung abgreift, schnappt sich von dieser Arbeitsstation auch Git-Zugangsdaten, private SSH-Schlüssel und AWS-Konfigurationsdateien – eine einzige infizierte Maschine kann also in einem Durchgang die Codebasis, die Repositories und die Cloud offenlegen."

Genau darin liegt die Ausweitung des klassischen Infostealer-Vorgehens: Aus einem einzigen kompromittierten Endpunkt können KI-Sitzungen, vertrauliche Geschäftsdaten und Entwicklerinfrastruktur gleichzeitig abfließen. Die neuen Verwertungswege könnten laut Check Point weitere Akteure zur Nachahmung anreizen.

Für die Verteidigung empfiehlt Check Point, Authentifizierungsdaten von KI-Werkzeugen künftig wie Unternehmensgeheimnisse zu behandeln und ähnlich zu schützen wie Cloud-Zugangsdaten und Entwicklerschlüssel. Sicherheitsteams sollten gezielt nach Diebstahl von KI-Sitzungen suchen und dabei verdächtige Zugriffe auf lokale Anwendungsspeicher und auf authentifizierungsbezogene Dateien von KI-Assistenten, Coding-Agenten und Entwicklungsumgebungen untersuchen.

Weitere empfohlene Maßnahmen:

  • langlebige Geheimnisse auf Endgeräten seltener dauerhaft vorhalten
  • wo möglich verwaltete Identitäten und kurzlebige Zugangsdaten einsetzen
  • Zugriff auf Cloud-Ressourcen und Quellcode-Repositories einschränken
  • offengelegte Sitzungen widerrufen und Geheimnisse rotieren

Besteht der Verdacht, dass ein Endpunkt kompromittiert wurde, sollten Organisationen nach Angaben von Check Point nicht nur Browser-Passwörter prüfen, sondern auch KI-Sitzungen, API-Schlüssel, GitHub-Zugangsdaten, SSH-Schlüssel und Cloud-Token.