Новий вірус краде паролі від ChatGPT, Claude та криптогаманців

Фахівці з кібербезпеки компанії Syman­tec Threat Hunter виявили нову версію шкідливої програми Aoki (Aoki­ga­hara) — інфостилера, який викрадає сесійні файли ШІ-асистентів, cook­ies та дані криптогаманців. Назва програми походить від сумнозвісного японського лісу Аокігахара на острові Хонсю, відомого через масові самогубства підлітків. Вперше цей шкідник з’явився у полі зору дослідників цього року, однак хакерське угруповання, що за ним стоїть, досі не встановлено.

Головна ціль Aoki — облікові дані та сесійні файли ШІ-інструментів для написання коду: Claude, Ope­nAI Codex, Cur­sor, Codeium та Gem­i­ni. Викрадені API-ключі дають зловмисникам змогу діяти від імені легітимного розробника — отримувати доступ до репозиторіїв, хмарних сервісів і CI/CD-конвеєрів, прив’язаних до акаунту жертви. Такий ключ від платного сервісу можна перепродати або використовувати за чужий рахунок.

Паралельно програма атакує десятки браузерних розширень для роботи з криптогаманцями — Meta­Mask, Phan­tom, Tron­Link, Coin­base, Binance, Trust, Exo­dus, Brave, Ronin, Solflare та понад п’ятдесят інших. Під удар потрапляють також десктопні гаманці: Exo­dus, Atom­ic, Elec­trum, Bit­coin Core, Mon­ero, Lite­coin, Doge­coin, Ledger Live, Binance та Token­Pock­et серед інших.

Окремо інфостилер сканує файлову систему в пошуках документів, назви яких містять слова mnemon­ic, recov­ery, pri­vatekey, passphrase, back­up, key­store, secret, 12word, 24word, wal­let або phrase. Це свідчить про чіткий інтерес зловмисників до чужих криптовалютних активів.

Список цілей програми не обмежується криптовалютами та штучним інтелектом. Aoki також збирає дані з браузерів Chrome, Edge, Brave, Fire­fox, Opera та Vival­di; менеджерів паролів 1Password, Bit­war­den, KeeP­ass та Dash­lane; месенджерів Dis­cord і Telegram; ігрових платформ Steam, Roblox та Epic Games. Крім того, шкідник орієнтується на VPN-сервіси — Open­VPN, Nord­VPN, Pro­ton­VPN, PIA, Surf­shark і Wind­scribe.

Дослідники Syman­tec Threat Hunter також з’ясували, що програма фіксує, які засоби захисту встановлені на комп’ютері жертви. Це дозволяє зловмисникам краще адаптувати подальші атаки під конкретну систему.

Тим часом фахівці компанії Sock­et Threat Research виявили 16 шкідливих розширень для браузера Fire­fox, спрямованих проти власників криптогаманців Rab­by та OKX — їхньою метою є викрадення сід-фраз і приватних ключів.