インフォスティーラー「Aokigahara」、「開発者のキーリング」とAIアシスタントを標的に

AIアプリケーションや開発ツールを狙い撃ちにする新種のインフォスティーラーが登場し、不正に入手したデータの収益化の構図を変えつつあります。盗んだデータを使った恐喝などの悪用によって、新たな収益源が生まれているためです。

Check Point Softwareの研究者らがこのマルウェアを発見し、富士山麓の「幽霊が出る森」として知られる日本の青木ヶ原にちなんで「Aokigahara」と名付けました。研究者らは最新のレポートで、一般的なスティーラーと同様の動作をすると説明しています。Windowsマシンを標的とし、そこで動作するブラウザー、VPNクライアント、暗号資産ウォレット、FTP/SFTPクライアント、パスワードマネージャー、メールアプリケーションなどからデータを盗み出します。

Check Pointによると、Aokigahara最大の特徴は、新たに台頭してきたAI関連の資産に狙いを定めている点です。Claude、ChatGPT Desktop、Codex、Cursor、Windsurf、GitHub Copilot、Gemini CLIといったツールに関連する認証ファイル、セッションデータ、設定ファイルを収集します。この点で、現在活動している多くのインフォスティーラーとは一線を画しています。

Check Pointは次のように指摘しています。「こうした標的の拡大は、攻撃者が価値を見いだすものが広がっていることを示しています。個人アカウントや金融データだけでなく、AIサービスへのアクセスや、開発者がソフトウェアを構築する環境も狙われているのです」

標的が変われば、金銭的な儲け方も変わる

レポートによると、AI関連のデータは、攻撃者がスティーラーの活動から金銭的利益を得る独自の手段になります。認証情報やセッショントークンを使って「有料AIサービスへの不正アクセスや、乗っ取ったアカウントの転売」が可能になるためです。

悪意ある活動は開発環境やクラウド環境にも及ぶ可能性があり、企業にとっても脅威です。実際に攻撃者は、盗んだGitHubアカウントの認証情報、SSH秘密鍵、AWS、Azure、Google Cloudの認証情報や設定ファイルを悪用し、標的企業のクラウド環境に侵入する手口をすでに示しています。

Check Pointによれば、盗んだデータを人質にして組織から身代金を取る恐喝につながる恐れもあります。

投稿では次のように述べています。「ユーザーはAIサービスに、機密性の高い業務情報や独自のソースコード、その他の機密資料を共有することがあります。盗まれた認証情報やセッショントークンで会話履歴やアップロードしたファイルにアクセスできれば、攻撃者はその情報の公開をちらつかせて金銭を要求するかもしれません」

セキュリティ企業Suzu Labsの最高技術責任者（CTO）、Denis Calderone氏はDark Readingに対し、次のように語っています。「盗まれたAIの認証情報は、攻撃者に大きな見返りをもたらしかねません。有料のAIサブスクリプションは転売可能な資産であり、その裏にある会話履歴には独自のコードが大量に含まれていることが少なくありません。つまり、盗まれたセッションには、転売価値に加えて恐喝の材料としての価値もあるのです」

Aokigahara型インフォスティーラーの動き

Aokigaharaに感染すると、コンピューターをスキャンして機密データを探します。対象はブラウザーのパスワード、セッションCookie、暗号資産ウォレット、ChatGPT、Claude、Cursor、GitHub CopilotといったAIアシスタントが保存している認証情報などです。ローカルのアプリケーションファイルから、認証トークンやAPIキー、その他価値のありそうな情報も探し出します。

このマルウェアが狙うデータには、Gitのアクセス情報、SSH鍵、AWS、Azure、Google Cloudの設定ファイルといった、開発者やクラウドの認証情報も含まれます。Check Pointによると、盗まれた認証情報が有効で十分な権限を持っていれば、攻撃者はこれらのデータを使ってプライベートなコードリポジトリやクラウドリソースにアクセスできるため、価値が高いといいます。

Calderone氏は「開発者のAIアシスタントはキーリングです」と指摘します。そのうちのいくつかの鍵は、最終的に攻撃者に「王国」への扉を開く可能性があります。

同氏は次のように述べています。「CursorやCopilotのセッションを抜き取るマルウェアは、同じワークステーションからGitの認証情報、SSH秘密鍵、AWSの設定ファイルも奪っていきます。感染したマシン1台から、コードベース、リポジトリ、クラウドが一度にさらされかねません」

Aokigaharaは検知回避の仕組みも備えています。仮想マシンやサンドボックスなどの解析環境の有無を確認します。さらに、盗んだデータをzipアーカイブにまとめて暗号化したうえで、攻撃者が管理するサーバーに送信します。

攻撃者の狙いが広がるなかで求められる現代的な防御

AokigaharaによるAIツールの標的化は、従来のインフォスティーラーの手口を拡張するものです。侵害されたエンドポイント1台から、AIセッション、機密性の高い業務データ、開発者のインフラがさらされる可能性があります。こうしたデータの窃取は、攻撃者に金銭的利益を得る新たな道を開くため、ほかの攻撃者が同様の手口を取る動機になりかねないと、Check Pointは指摘しています。

そのため防御側は、AIツールの認証データを企業の機密情報として扱い始めるべきです。クラウドの認証情報や開発者の鍵と同等の保護を適用する必要があります。その一環として、セキュリティチームはAIセッションの窃取を探索（ハンティング）するとよいでしょう。具体的には、AIアシスタント、コーディングエージェント、開発者向けIDEが使うローカルのアプリケーションストレージや認証関連ファイルへの不審なアクセスを調査します。

組織はまた、開発者の認証情報やクラウドの認証情報をより厳重に保護すべきです。エンドポイント上に長期間有効なシークレットを残さないようにし、可能な限りマネージドIDや有効期間の短い認証情報を使い、クラウドリソースやソースコードリポジトリへのアクセスを制限します。

さらに、露出したアプリやツール全体の資産を守るには、露出したセッションを失効させ、シークレットをローテーションすることも有効です。Check Pointによると、エンドポイントが侵害された疑いがある場合は、ブラウザーのパスワードだけでなく、AIセッション、APIキー、GitHubの認証情報、SSH鍵、クラウドトークンも評価すべきです。