Идентификационные данные уже давно стали основной поверхностью атаки в облаке. Вредоносное ПО типа «инфостилер» (infostealer), распространяемое через индустриализированную экономику киберпреступности, является ведущим вектором первоначального доступа для компрометации корпоративных облачных, программных и ИИ-сред. Нацеливаясь на незащищенные конечные точки разработчиков с помощью социальной инженерии и атак на цепочки поставок, злоумышленники крадут учетные данные, ключи API и активные токены сессий, тем самым обходя более надежные средства защиты, которые оберегают большинство облачных сред от более прямых атак.
Украденные учетные данные широко признаны одним из наиболее распространенных векторов первоначального заражения — Microsoft, Recorded Future и Verizon’s DBIR указывают на инфостилеры как на серьезную проблему. Эти атаки начинаются с простого заражения вредоносным ПО на личном устройстве, а заканчиваются тем, что злоумышленники получают привилегированный доступ к вашей инфраструктуре AWS, Azure или GCP, а в последнее время — и к платформам разработки, используемым вашей организацией, таким как GitHub или GitLab.
Понимание того, как это происходит, — первый шаг к созданию устойчивой защиты. Поэтому мы решили составить карту различных облачных ключей, на которые нацелено вредоносное ПО типа «инфостилер», и определить ценность, которую злоумышленники могут извлечь из них.
Что такое инфостилеры и какие секреты они крадут?
Современные атаки с использованием инфостилеров — это продукт зрелой многоуровневой цепочки поставок, обслуживающей злоумышленников. Все начинается с платформ «вредоносное ПО как услуга» (MaaS), где мощные инфостилеры, такие как Lumma и RedLine, сдаются в аренду всего за несколько сотен долларов в месяц. Эти инструменты предназначены для одной цели: быстрого и скрытного сбора данных. Они запускаются, извлекают учетные данные и похищают данные за считанные секунды, часто с устройств, на которых установлено актуальное антивирусное программное обеспечение.
Затем украденные логи данных продаются на подпольных торговых площадках, часто через брокеров первоначального доступа (IAB). Эти брокеры курируют логи, проверяют ценные учетные данные и продают подтвержденный доступ высокоуровневым злоумышленникам, таким как картели программ-вымогателей. Такая система означает, что время от момента, когда сотрудник ошибочно нажимает на фишинговую ссылку, до продажи его корпоративных облачных учетных данных может составлять от нескольких часов до многих недель или месяцев.
Однако вредоносное ПО не только крадет пароли, оно также нацелено на различные методы аутентификации и ключи API, чтобы извлечь из жертвы как можно больше ценной информации, включая:
- Ключи API и секретные ключи: часто встречаются в конфигурационных файлах разработчиков.
Ключи API и секретные ключи: часто встречаются в конфигурационных файлах разработчиков.
- Активные файлы cookie сеансов и токены: позволяют обойти многофакторную аутентификацию (MFA) путем перехвата уже аутентифицированного сеанса.
Активные файлы cookie сеансов и токены: позволяют обойти многофакторную аутентификацию (MFA) путем перехвата уже аутентифицированного сеанса.
Наш анализ секретов, обнаруженных на зараженных машинах с помощью интеграции Wiz с NordStellar, выявляет концентрированный ландшафт угроз, в котором доминирует небольшое число плодовитых семейств инфостилеров: Lumma C2, RedLine и Vidar составляют 85,7% всех обнаруженных инцидентов, что подчеркивает коммодитизацию экосистемы инфостилеров, где несколько предложений «вредоносное ПО как услуга» доминируют на подпольном рынке.
Примечательно, что NordStellar identifies более 400 различных типов секретов, не являющихся учетными данными, что свидетельствует о том, что злоумышленники широко используют свои сети, чтобы монетизировать любой доступ, который они могут получить.
Украденные облачные учетные данные являются основным «уловом» для инфостилеров: на AWS и GCP приходится 46% и 13% всех скомпрометированных секретов соответственно. Следующей важной целью является GitHub, где токены приложений, токены OAuth и персональные токены доступа (PAT) составляют около 10% от общего числа. ИИ-платформы также являются значительной частью, составляя 5% украденных секретов, причем лидируют ключи API OpenAI. Эти учетные данные ИИ очень прибыльны; они позволяют злоумышленникам свободно запускать свои собственные рабочие нагрузки или перепродавать доступ в рамках незаконного рынка перепродажи LLM. Кроме того, эти ключи потенциально могут предоставить доступ к историческим логам чатов, которые могут содержать конфиденциальные корпоративные данные, но нам не известно о публичных случаях такого сценария.
Наш анализ данных также показывает, что традиционные методы распространения вредоносного ПО по-прежнему играют важную роль: легитимные бинарные файлы Windows, такие как vbc.exe (компилятор Visual Basic), часто используются злоумышленниками для выполнения, в то время как троянизированные файлы, связанные с играми (например, Roblox.exe, Valorant SkinChanger.exe), демонстрируют нацеленность на личные машины разработчиков, которые часто менее защищены, чем корпоративные конечные точки.
В последнее время вредоносное ПО типа инфостилеров, такое как Miasma, нацеливается на CI/CD-конвейеры, серверы разработки и процессы сборки. В этих случаях фишинг не является применимым вектором первоначального доступа; вместо этого злоумышленники нацеливаются на часто используемую программную зависимость и перехватывают ее последнюю версию, чтобы внедрить вредоносный код для выполнения в средах жертв. Эти CI/CD-инфостилеры нацелены на ключи API, облачные учетные данные, CI-токены и артефакты развертывания, в конечном итоге злоупотребляя ими для действий после компрометации против корпоративных организаций.
От конечной точки до облака
Путь к компрометации облака начинается на устройстве конечного пользователя, которое уже вошло в целевую службу и недавно было заражено инфостилером. Вместо того чтобы пытаться взломать MFA, злоумышленники крадут токен сеанса, созданный после успешной аутентификации пользователя. Позже, используя этот украденный токен в своем браузере, они получают доступ как легитимный пользователь, полностью обходя запросы MFA. Один действительный токен сеанса для корпоративной системы, особенно если пользователь обладает высокими привилегиями или доступом к конфиденциальной информации, может открыть доступ ко многим ресурсам в облачной среде целевой организации. См. наше недавно опубликованное расследование JINX-0164 в качестве примера.
Помимо перехвата сеансов, злоумышленники также могут использовать долгосрочные ключи и учетные данные, собранные инфостилерами, но их ценность варьируется в зависимости от целевой облачной среды, как подробно описано ниже.
Amazon Web Services (AWS)
В AWS злоумышленники фокусируются на двух основных типах секретов. Первые — это долгосрочные ключи доступа IAM, которые часто хранятся в виде открытого текста в файлах конфигурации или исходном коде на рабочих станциях разработчиков. Вторая цель — активный файл cookie сеанса для AWS Management Console. Кража этого файла cookie позволяет злоумышленнику, по сути, обойти требование MFA и получить прямой интерактивный доступ к облачным ресурсам жертвы, как описано выше.
Файлы cookie сеансов обычно извлекаются из кэша каждого браузера на диске. В современных браузерах их также можно получить непосредственно из памяти, либо путем внедрения кода в процесс браузера, либо путем подключения отладчика для чтения памяти с помощью API отладки.
При нацеливании на AWS основные файлы, представляющие интерес для злоумышленников, находятся в следующих местах (те же файлы существуют в Windows в папке %USERPROFILE%).
- ~/.aws/config — хранит неконфиденциальные параметры настройки, такие как регионы по умолчанию, форматы вывода и именованные профили для AWS CLI и SDK.
~/.aws/config — хранит неконфиденциальные параметры настройки, такие как регионы по умолчанию, форматы вывода и именованные профили для AWS CLI и SDK.
- ~/.aws/credentials — содержит конфиденциальные ключи аутентификации, в частности AWS Access Key ID и Secret Access Key, разделенные по профилям.
~/.aws/credentials — содержит конфиденциальные ключи аутентификации, в частности AWS Access Key ID и Secret Access Key, разделенные по профилям.
- ~/.aws/cli/cache/ — временно хранит кэшированные ответы API и внутренние данные команд для повышения производительности AWS CLI и сокращения количества дублирующихся вызовов API.
~/.aws/cli/cache/ — временно хранит кэшированные ответы API и внутренние данные команд для повышения производительности AWS CLI и сокращения количества дублирующихся вызовов API.
- ~/.aws/sso/cache/ — содержит временные недолговечные токены доступа и данные сеанса, создаваемые при аутентификации с использованием AWS IAM Identity Center (ранее AWS SSO).
~/.aws/sso/cache/ — содержит временные недолговечные токены доступа и данные сеанса, создаваемые при аутентификации с использованием AWS IAM Identity Center (ранее AWS SSO).
Хотя файл конфигурации AWS (.aws/config) не содержит секретов, он точно указывает злоумышленнику, к каким профилям, ролям и учетным записям жертва имеет доступ. Злоумышленники объединяют эту информацию с секретами, хранящимися в других каталогах.
Если файл учетных данных (.aws/credentials) настроен с помощью aws config, он включает в себя фактические долгосрочные секреты, используемые для входа в AWS, в частности Access Key ID и Secret Access Key. По умолчанию временные токены SSO здесь не записываются; однако многие сторонние инструменты, используемые разработчиками (например, gimme-aws-creds), могут внедрять временные токены в этот файл для совместимости со старыми SDK. Более безопасной альтернативой является использование таких инструментов, как Granted, которые используют связку ключей операционной системы.
Когда пользователь проходит аутентификацию через SSO с помощью aws sso login, полученные временные токены STS (Access Key, Secret Key и Session Token) по умолчанию кэшируются в папке кэша CLI (.aws/cli/cache/). Срок действия этих токенов составляет от 1 до 12 часов в зависимости от конфигурации организации, что означает наличие активного окна, в течение которого токен уязвим для немедленной кражи и использования. Это делает токены STS несколько менее полезными для операторов инфостилеров и их клиентов, если только они не могут продать их немедленно.
Еще более критичной является папка SSO Cache (.aws/sso/cache/), которая содержит долгоживущие токены OIDC, созданные во время первоначального входа в SSO. Эти токены обычно действуют до 90 дней. Если пользователь активно не выполняет aws sso logout или сеанс не отзывается администратором, это значительно увеличивает окно уязвимости, позволяя операторам инфостилеров и их клиентам красть токен и затем постоянно создавать новые учетные данные AWS.
Microsoft Azure
Глубокая интеграция Azure с корпоративной идентификацией через Azure Active Directory (Entra ID) предоставляет путь для первоначального доступа к средам Azure на основе инфостилеров. Единая скомпрометированная учетная запись синхронизированного пользователя может создать мост для злоумышленников для перемещения внутри сети между локальной сетью и облачной средой. Основная цель часто заключается в компрометации привилегированной учетной записи Azure AD, такой как Global Administrator, которая обеспечивает контроль над всем облачным клиентом и связанными с ним службами M365.
Группы угроз, такие как LAPSUS$, исторически специализировались на использовании украденных учетных данных для перехода в Azure AD, иногда даже регистрируя собственное устройство как «доверенное» для обхода политик условного доступа. Другой, более недавний пример — Miasma, который специально targets следующие файлы:
- .azure/accessTokens.json — хранит необработанные текстовые токены доступа, используемые в основном старыми версиями Azure CLI для аутентификации запросов API.
.azure/accessTokens.json — хранит необработанные текстовые токены доступа, используемые в основном старыми версиями Azure CLI для аутентификации запросов API.
- .azure/msal_token_cache.* — служит современным кэшем токенов для Azure CLI, безопасно храня данные сеанса и токены доступа через Microsoft Authentication Library (MSAL).
.azure/msal_token_cache.* — служит современным кэшем токенов для Azure CLI, безопасно храня данные сеанса и токены доступа через Microsoft Authentication Library (MSAL).
Современные инфостилеры специально нацелены на критические каталоги, связанные с облачной разработкой Azure, для компрометации учетных данных. Их основная цель — папка кэша аутентификации Azure CLI (%USERPROFILE%\.azure), которая содержит крайне конфиденциальные файлы конфигурации в открытом виде.
Самой ценной целью в этой экосистеме является accessTokens.json. Этот файл содержит необработанные токены доступа Azure, долгоживущие токены обновления, идентификаторы клиентов (tenant IDs), идентификаторы ресурсов и временные метки истечения срока действия. Его кража дает немедленный программный доступ к API Azure Resource Manager (ARM), полностью исключая необходимость использования веб-порталов. Вторичной, но все еще жизненно важной целью является azureProfile.json. Хотя в нем нет прямых секретов, он раскрывает важные данные разведки, такие как идентификаторы подписок, клиенты по умолчанию и имя участника-пользователя (UPN), позволяя злоумышленникам автоматизировать перемещение внутри сети с полным пониманием облачной среды жертвы.
Кроме того, приложения, использующие Microsoft Authentication Library (MSAL), создают локальные кэши идентификаторов, которые часто находятся в %localappdata%\.IdentityService\msal.cache или msalv2.cache. Эти кэши хранят комплексные токены доступа и обновления Entra ID, идентификаторы учетных записей и конкретные области разрешений для основных служб Microsoft (Graph, Outlook, SharePoint и облачные вычисления Azure). Важно отметить, что они также содержат идентификаторы клиентов приложений (Application Client IDs), что позволяет злоумышленникам перехватывать активные сеансы, выдавать себя за доверенные корпоративные приложения и, таким образом, избегать обнаружения аномалий.
Ярким примером такого таргетинга является вредоносное ПО Vidar 2.0, которое имеет специальную логику для перечисления directory в %USERPROFILE%\.azure, используя ее для извлечения учетных данных Azure и эксфильтрации данных злоумышленникам.
Google Cloud Platform (GCP)
Основной риск в GCP связан с долгоживущими переносимыми ключами сервисных учетных записей. Эти JSON-файлы ключей, которые предоставляют программный доступ, являются главной целью для инфостилеров, сканирующих компьютеры разработчиков. Украденный ключ, связанный с привилегированной сервисной учетной записью, может предоставить злоумышленнику немедленный и обширный контроль над проектом GCP.
При атаке на GCP наиболее ценными для злоумышленников являются следующие файлы и переменные среды:
- credentials.db — база данных SQLite, содержащая долгоживущие токены обновления OAuth 2.0, используемые gcloud CLI.
credentials.db — база данных SQLite, содержащая долгоживущие токены обновления OAuth 2.0, используемые gcloud CLI.
- access_tokens.db — база данных SQLite, хранящая активные токены доступа, используемые gcloud CLI для взаимодействия с API Google.
access_tokens.db — база данных SQLite, хранящая активные токены доступа, используемые gcloud CLI для взаимодействия с API Google.
- application_default_credentials.json — JSON-документ, используемый платформой Application Default Credentials (ADC) от Google для предоставления аутентификации клиентским библиотекам Google Cloud.
application_default_credentials.json — JSON-документ, используемый платформой Application Default Credentials (ADC) от Google для предоставления аутентификации клиентским библиотекам Google Cloud.
- $GOOGLE_APPLICATION_CREDENTIALS — переменная окружения, указывающая на точный путь к файлам JSON-ключей высокопривилегированных сервисных аккаунтов, используемых в производственных или промежуточных средах.
$GOOGLE_APPLICATION_CREDENTIALS — переменная окружения, указывающая на точный путь к файлам JSON-ключей высокопривилегированных сервисных аккаунтов, используемых в производственных или промежуточных средах.
Основной инструмент командной строки Google Cloud, gcloud, хранит состояние аутентификации, метаданные проекта и данные конфигурации сеанса в предсказуемых локальных каталогах. В системах Linux и macOS эти критически важные данные обычно находятся в ~/.config/gcloud/, тогда как в операционных системах Windows используется каталог %appdata%\gcloud\. Инфостилеры используют точные, жестко закодированные процедуры поиска, предназначенные для захвата следующих высокоценных артефактов GCP:
Прежде всего, это файлы credentials.db и access_tokens.db. Эти базы данных SQLite содержат крайне конфиденциальные токены обновления OAuth 2.0 и активные токены доступа, используемые CLI gcloud для взаимодействия с API Google. Кража этих конкретных баз данных особенно ценна, поскольку токены обновления Google Cloud, как правило, не истекают автоматически, если они не были явно отозваны администратором или не подпадают под действие чрезвычайно строгих политик организационных границ. Следовательно, их кража предоставляет злоумышленникам постоянный, долгосрочный программный доступ ко всей среде GCP.
Во-вторых, инфостилеры нацеливаются на файл application_default_credentials.json. Этот JSON-документ является критически важным, фундаментальным компонентом платформы Application Default Credentials (ADC) от Google, которая используется клиентскими библиотеками Google Cloud для автоматического обнаружения и использования учетных данных аутентификации во время разработки приложений. Примером недавнего вредоносного ПО, нацеленного на эти файлы, является инфостилер цепочки поставок TeamPCP LiteLLM, в списке целей которого для эксфильтрации были указаны эти конкретные пути.
Наконец, сложные варианты вредоносного ПО, особенно те, которые осуществляют автоматизированные атаки на цепочки поставок, целенаправленно атакуют переменные окружения, уделяя основное внимание $GOOGLE_APPLICATION_CREDENTIALS. В производственных и промежуточных средах эта переменная указывает на точное расположение файлов JSON-ключей сервисных аккаунтов в файловой системе. Злоумышленники анализируют переменные окружения, извлекают целевой путь и впоследствии эксфильтруют связанный файл JSON-ключа, что дает им немедленный программный доступ к вычислительным ресурсам и хранилищам GCP в качестве высокопривилегированной нечеловеческой сущности (сервисного аккаунта), опубликованной Google Cloud.
GitHub
Учетные данные GitHub представляют собой высокоценную цель для инфостилеров из-за центральной роли платформы в разработке программного обеспечения и конфиденциальной интеллектуальной собственности, хранящейся в частных репозиториях. Украденный сеанс GitHub или персональный токен доступа (PAT) дает злоумышленникам доступ не только к исходному коду, но и к секретам CI/CD, конвейерам развертывания и, возможно, к возможности внедрения вредоносного кода непосредственно в цепочки поставок программного обеспечения. Подчеркивая статус GitHub как главной цели, наш анализ показывает, что около 50% семейств инфостилеров в настоящее время активно собирают учетные данные GitHub, что делает их четвертой по популярности целью среди всех видов вредоносного ПО.
При атаке на GitHub злоумышленники фокусируются на следующих файлах и артефактах:
- ~/.config/gh/hosts.yml (или %APPDATA%\GitHub CLI\hosts.yml) — хранит токены OAuth и настройки конфигурации, используемые CLI GitHub (gh) для авторизации доступа к вашим учетным записям GitHub.
~/.config/gh/hosts.yml (или %APPDATA%\GitHub CLI\hosts.yml) — хранит токены OAuth и настройки конфигурации, используемые CLI GitHub (gh) для авторизации доступа к вашим учетным записям GitHub.
- ~/.git-credentials (или $XDG_CONFIG_HOME/git/credentials) — содержит имена пользователей, пароли или персональные токены доступа (PAT) в открытом виде, используемые Git для аутентификации HTTPS-соединений с удаленными репозиториями.
~/.git-credentials (или $XDG_CONFIG_HOME/git/credentials) — содержит имена пользователей, пароли или персональные токены доступа (PAT) в открытом виде, используемые Git для аутентификации HTTPS-соединений с удаленными репозиториями.
- ~/.ssh/id_rsa, ~/.ssh/id_ed25519 — содержат закрытые SSH-ключи, используемые для установления безопасного соединения, обычно применяемые для аутентификации без пароля на удаленных Git-серверах.
~/.ssh/id_rsa, ~/.ssh/id_ed25519 — содержат закрытые SSH-ключи, используемые для установления безопасного соединения, обычно применяемые для аутентификации без пароля на удаленных Git-серверах.
- GITHUB_TOKEN, GH_TOKEN — переменные окружения, обычно используемые в рабочих процессах CI/CD и локальной разработке для предоставления активных токенов доступа для программной аутентификации в API и CLI GitHub.
GITHUB_TOKEN, GH_TOKEN — переменные окружения, обычно используемые в рабочих процессах CI/CD и локальной разработке для предоставления активных токенов доступа для программной аутентификации в API и CLI GitHub.
GitHub CLI (gh) хранит токены OAuth в файле hosts.yml, который содержит токены в открытом виде (с префиксом gho_), если системная связка ключей недоступна. Аналогично, пользователи, проходящие аутентификацию через HTTPS, часто полагаются на помощник git-credential-store, который записывает учетные данные в открытом виде в файл ~/.git-credentials в формате https://username:token@github.com.
SSH-ключи также остаются постоянной целью. Инфостилеры, такие как Ghost Loader, специально извлекают ~/.ssh/id_rsa для получения долгосрочного доступа к GitHub. Для перехвата сеансов злоумышленники нацеливаются на файлы cookie браузера, включая user_session, __Host-user_session_same_site и _gh_sess. Кража этих файлов cookie позволяет полностью обойти MFA. Крупные семейства инфостилеров, включая Lumma и RedLine, систематически собирают файлы cookie браузера и хранилища учетных данных, которые включают сеансы GitHub.
GitLab
GitLab представляет собой аналогичную поверхность атаки, что и GitHub, поскольку скомпрометированные учетные данные GitLab могут предоставить доступ к исходному коду, переменным CI/CD, содержащим секреты развертывания, и реестрам контейнеров.
При атаке на GitLab злоумышленники фокусируются на следующих файлах и переменных:
- ~/.config/glab-cli/config.yml (или %USERPROFILE%\.config\glab-cli\config.yml) — хранит настройки конфигурации и персональные токены доступа, используемые официальным CLI GitLab (glab) для аутентификации и взаимодействия с экземплярами GitLab.
~/.config/glab-cli/config.yml (или %USERPROFILE%\.config\glab-cli\config.yml) — хранит настройки конфигурации и персональные токены доступа, используемые официальным CLI GitLab (glab) для аутентификации и взаимодействия с экземплярами GitLab.
- /etc/gitlab-runner/config.toml (или ~/.gitlab-runner/config.toml) — содержит настройки конфигурации и конфиденциальные токены регистрации для GitLab Runners, отвечающих за выполнение заданий CI/CD.
/etc/gitlab-runner/config.toml (или ~/.gitlab-runner/config.toml) — содержит параметры конфигурации и конфиденциальные токены регистрации для GitLab Runners, отвечающих за выполнение заданий CI/CD.
- GITLAB_TOKEN, GITLAB_ACCESS_TOKEN, CI_JOB_TOKEN — переменные среды, обычно используемые в сценариях автоматизации и конвейерах CI/CD для обеспечения программной аутентификации на основе токенов для API и репозиториев GitLab.
GITLAB_TOKEN, GITLAB_ACCESS_TOKEN, CI_JOB_TOKEN — переменные среды, обычно используемые в сценариях автоматизации и конвейерах CI/CD для обеспечения программной аутентификации на основе токенов для API и репозиториев GitLab.
Интерфейс командной строки GitLab (glab) хранит токены аутентификации в файле config.yml, который содержит токены в открытом виде, если только при аутентификации явно не использовался флаг --use-keyring. Многие разработчики также хранят PAT GitLab в файлах ~/.netrc, используя формат machine gitlab.com login oauth2 password <token>.
Файлы конфигурации GitLab Runner (config.toml) являются особенно ценными целями. Эти файлы содержат токены аутентификации исполнителей (с префиксом glrt-), которые позволяют злоумышленникам регистрировать поддельные исполнители, перехватывать задания CI/CD или получать доступ к секретам, раскрываемым во время выполнения конвейера.
Для перехвата сеанса основной целью является файл cookie _gitlab_session; путем внедрения украденного файла cookie в свой собственный веб-браузер злоумышленник полностью принимает личность жертвы в веб-интерфейсе GitLab.
Кампании использовали уязвимости в самостоятельно размещенных экземплярах GitLab (например, CVE-2023-7028) для распространения инфостилеров, таких как StealC, через загрузчик Amadey. После развертывания эти стилеры собирают учетные данные браузера и файлы cookie, которые часто включают токены сеанса GitLab среди более чем 17 миллиардов файлов cookie браузера, крадущихся ежегодно.
OpenAI API и ChatGPT
Чтобы обойти аутентификацию на веб-платформе ChatGPT, инфостилеры специально нацеливаются на файл cookie __Secure-next-auth.session-token. Когда пользователь входит в ChatGPT, этот токен генерируется и сохраняется в локальной базе данных файлов cookie браузера для поддержания сеанса. Извлекая значение __Secure-next-auth.session-token, злоумышленники могут использовать его в своем собственном браузере и полностью перехватить сеанс. Это дает злоумышленнику доступ к истории чатов жертвы, которая часто содержит конфиденциальные корпоративные данные, проприетарный исходный код и внутренние бизнес-стратегии.
Помимо файлов cookie веб-сеансов, разработчики и автономные агенты ИИ представляют собой огромную поверхность атаки для компрометации инфраструктуры OpenAI. Инфостилеры систематически сканируют среды разработчиков на наличие таких файлов, как credentials.json или .env, в которых активные ключи API OpenAI (OPENAI_API_KEY) хранятся в открытом виде.
Anthropic Claude Code
Поскольку помощники по программированию на базе ИИ, такие как Claude Code и Codex, становятся неотъемлемой частью рабочих процессов разработчиков, они превратились в новую категорию целей для кражи учетных данных. Эти инструменты хранят токены аутентификации и конфигурацию, которые злоумышленники могут использовать для злоупотребления API, доступа к конфиденциальной истории разговоров и горизонтального перемещения в подключенную облачную инфраструктуру.
Рассматривая Claude Code в качестве примера, злоумышленники часто фокусируются на следующих файлах:
- ~/.claude/.credentials.json (Linux) — хранит токены OAuth в открытом виде.
