Um infostealer identificado como Aokigahara passou a procurar arquivos de autenticação, sessões e configurações de ferramentas de programação assistida por inteligência artificial. A descoberta amplia a preocupação com credenciais armazenadas nas estações de desenvolvedores, onde o acesso a serviços de IA frequentemente convive com repositórios de código e ambientes de nuvem.
O malware foi documentado pela Check Point Research em 23 de outubro. A análise encontrou rotinas específicas para coletar dados associados a Claude Code, ChatGPT Desktop, Codex, Cursor, Windsurf, GitHub Copilot e Gemini CLI. Também estão entre os alvos arquivos do Git, possíveis chaves privadas SSH e configurações de AWS, Azure e Google Cloud. O comportamento foi observado em amostras reais, mas a pesquisa não demonstra que todos os arquivos encontrados continham credenciais válidas nem confirma o uso posterior de cada acesso coletado.
O detalhe que merece atenção é o método. Não há, na pesquisa apresentada, uma vulnerabilidade específica dessas ferramentas sendo explorada. O Aokigahara procura informações deixadas no armazenamento local das aplicações. Uma estação comprometida pode, assim, oferecer ao criminoso muito mais do que senhas de navegador: dependendo dos arquivos encontrados e dos privilégios envolvidos, pode abrir acesso a serviços pagos de IA, histórico de interações, repositórios privados e recursos corporativos.
Quando a estação de desenvolvimento vira um depósito de acessos
A Check Point identificou um módulo denominado aisessions, dedicado a localizar dados de autenticação e sessões de aplicativos de IA. Entre os caminhos investigados estão arquivos de autenticação do Codex, credenciais do Claude, bancos de estado do Cursor e do Windsurf, armazenamento do GitHub Copilot e caches de login único da AWS. Um segundo módulo, chamado ide, procura informações ligadas a editores e ferramentas de desenvolvimento, inclusive arquivos Git e SSH.
Essa distinção é importante: um arquivo de configuração não é automaticamente uma credencial utilizável. Parte dos dados pode conter apenas preferências ou referências locais. O impacto depende de o segredo ainda estar válido, das permissões concedidas e da capacidade de reutilizá-lo em outro ambiente. Mesmo assim, a coleta sistemática mostra que as ferramentas de IA passaram a integrar o inventário de alvos dos ladrões de informações.
Um desenvolvedor que utiliza a mesma estação para trabalhar com código-fonte, autenticar-se no GitHub, administrar recursos em nuvem e interagir com agentes de IA concentra diferentes níveis de acesso em um único equipamento. Caso uma chave com privilégios amplos seja recuperada, o incidente pode ultrapassar o computador afetado. O risco inclui leitura de código proprietário, acesso indevido a infraestrutura, alteração de artefatos e exposição de dados enviados a serviços externos — possibilidades condicionadas aos acessos efetivamente comprometidos.
O que a análise técnica revela sobre a operação
O Aokigahara mantém recursos tradicionais de infostealers, como captura de cookies, senhas de navegadores, conteúdo da área de transferência e informações de aplicativos de mensagens, VPN e gerenciadores de senhas. A configuração do executável é armazenada de forma criptografada, e os módulos de coleta podem ser habilitados seletivamente. A Check Point também descreveu verificações opcionais para identificar depuradores e ambientes virtualizados, recursos que podem dificultar a análise automatizada.
Para transmitir dados, o malware estabelece uma sessão com a infraestrutura de comando e controle e envia arquivos compactados em blocos criptografados. A pesquisa descreve negociação de chaves com X25519 e criptografia AES-256-GCM nos pacotes enviados. A existência desses mecanismos evidencia uma rotina de exfiltração estruturada, mas não permite concluir, isoladamente, quais empresas ou usuários foram efetivamente atingidos. Tampouco há, nas evidências consultadas, confirmação de vítimas brasileiras.
Proteção começa pela estação, mas precisa alcançar os privilégios
O controle mais imediato é tratar estações de desenvolvimento como equipamentos com acesso privilegiado. Proteção de endpoint com capacidade de detecção e resposta, atualização de sistemas, restrição de execução de software não autorizado e monitoramento de comportamento suspeito reduzem a oportunidade de coleta. A administração de identidades precisa complementar essa defesa: tokens com escopo mínimo, credenciais de curta duração, autenticação resistente a phishing quando disponível e revisão periódica de permissões limitam os danos de um segredo recuperado.
Empresas que utilizam agentes de programação também devem identificar onde as ferramentas armazenam sessões e arquivos sensíveis, evitar segredos permanentes em diretórios de usuário e preferir cofres de segredos e identidades de carga de trabalho com permissões delimitadas. Na resposta a um incidente, trocar apenas a senha pode ser insuficiente. É necessário avaliar a revogação de sessões, a rotação de chaves SSH e tokens de API, a revisão de acessos a repositórios e a investigação de atividades anômalas em nuvem.
O caso Aokigahara mostra que a adoção de IA no desenvolvimento acrescenta novos locais de armazenamento de credenciais a uma superfície de ataque já conhecida. O problema não depende de a ferramenta de IA ter sido invadida: basta que a estação onde ela opera esteja comprometida e mantenha acessos reutilizáveis. Para organizações que aceleraram o uso de assistentes de programação, mapear e limitar esses acessos passou a ser parte da segurança do processo de desenvolvimento.
Be the first to comment