Новый инфостилер крадет пароли от ИИ-сервисов и криптокошельков

Название стилера, Aoki, связано с печально известным лесом Аокигахара на японском острове Хонсю — в этом лесу произошло большое количество самоубийств среди подростков. Впервые вредоносная программа была обнаружена в этом году. Пока неизвестно, какая за ней стоит хакерская группа и какой ущерб она могла нанести пострадавшим пользователям.

Исследователи выяснили, что программа похищает учетные данные и файлы сессий, используемые ИИ-помощниками для написания кода, включая Claude, OpenAI Codex, Cursor, Codeium и Gemini. Украденные ключи API позволяют злоумышленникам действовать от имени легитимного разработчика, поскольку получают доступ к связанным репозиториям, облачным сервисам, а также конвейерам непрерывной интеграции и доставки (CI/CD), привязанным к учетной записи. Украденный ключ от платного сервиса можно перепродать или использовать за счет жертвы.

Помимо ИИ-ключей, Aoki крадет данные расширений браузеров для работы с криптокошельками MetaMask, Phantom, TronLink, Coinbase, Binance, Trust, Exodus, Brave, Ronin, Solflare, Slope, Rabby, Terra Station, Keplr, Sollet, Coin98, XDEFI, KardiaChain, Nami, Maiar, Temple, Yoroi, Guarda, EVER, Jaxx Liberty, BitPay, Wombat, Oxygen, Crocobit, Finnie, Kaikas, BOLT X, Liquality, Leaf, Clover, Math, GeroWallet, HashPack, Talisman, SubWallet, Polkadot, Martian, Pontem, Petra, Fewcha, OKX, Sender, TokenPocket, Backpack, Sui, Enkrypt, Core, Zerion, Rainbow, Frontier, Blade, Bitget, Compass, 1inch, Fluent, Braavos, ArgentX, Fractal, Tonkeeper, UniSat, Leather, SafePal и Rise.

Программа также похищает данные от десктопных криптокошельков: Exodus, Atomic, Electrum, Electrum-LTC, Эфириум, Zcash, Armory, Bytecoin, Jaxx, Guarda. Coinomi, Wasabi, Dogecoin, Dash, Litecoin, Bitcoin Core, Monero, Daedalus, Binance, Ledger Live и TokenPocket.

Кроме того, инфостилер ищет файлы, в названиях которых присутствуют слова mnemonic, recovery, privatekey, private_key, passphrase, backup, keystore, secret, 12word, 24word, wallet или phrase. Это говорит о явном интересе злоумышленников к чужим криптовалютам.

Риску кражи подвергаются данные браузеров Chrome, Edge, Brave, Firefox, Opera и Vivaldi; менеджеров паролей 1Password, Bitwarden, KeePass, Dashlane; сессии Discord и Telegram, игровых платформ Steam, Roblox и Epic Games. Программа похищает данные от VPN-сервисов OpenVPN, NordVPN, ProtonVPN, PIA, Surfshark и Windscribe. Стилер даже фиксирует, какие средства защиты установлены на компьютере, узнали эксперты Symantec Threat Hunter.

Недавно специалисты по кибербезопасности компании Socket Threat Research обнаружили 16 вредоносных расширений для браузера Firefox. Цель злоумышленников — отобрать сид-фразы и приватные ключи у владельцев криптокошельков Rabby и OKX.