Идентификация уже давно стала главной поверхностью атак в облаке. Вредоносное ПО-стиллер, распространяемое через индустриализированную экономику киберпреступности, является ведущим вектором первоначального доступа для компрометации корпоративных облачных, кодовых и ИИ-сред. Нацеливаясь на незащищенные конечные точки разработчиков с помощью социальной инженерии и атак на цепочку поставок, злоумышленники похищают учетные данные, ключи API и активные токены сеансов, тем самым обходя более надежные средства защиты, которые оберегают большинство облачных сред от прямых атак.
Краденые учетные данные широко признаны одним из наиболее распространенных векторов первоначального заражения — Microsoft, Recorded Future и DBIR от Verizon указывают на инфостиллеры как на причину серьезной озабоченности. Эти атаки начинаются с простого заражения вредоносным ПО личного устройства, а заканчиваются тем, что злоумышленники получают привилегированный доступ к вашим инфраструктурам AWS, Azure или GCP, а в последнее время и к используемым вашей организацией платформам для работы с кодом, таким как GitHub или GitLab.
Понимание того, как это происходит, — первый шаг к созданию устойчивой защиты. Поэтому мы решили составить карту различных облачных ключей, на которые нацелено вредоносное ПО-стиллер, и определить ценность, которую злоумышленники могут из них извлечь.
Что такое инфостиллеры и какие секреты они крадут?
Современные атаки с использованием инфостиллеров являются результатом зрелой многоуровневой цепочки поставок, обслуживающей злоумышленников. Все начинается с платформ «вредоносное ПО как услуга» (MaaS), где мощные инфостиллеры, такие как Lumma и RedLine, сдаются в аренду всего за несколько сотен долларов в месяц. Эти инструменты созданы для одной цели: быстрого и скрытного сбора данных. Они запускаются, собирают учетные данные и эксфильтрируют данные за считанные секунды, часто с устройств с установленным актуальным антивирусным ПО.
Затем украденные логи данных продаются на подпольных торговых площадках, часто через брокеров первоначального доступа (IAB). Эти брокеры курируют логи, проверяют ценные учетные данные и продают подтвержденный доступ злоумышленникам высокого уровня, таким как картели вирусов-вымогателей. Эта система означает, что время от ошибочного клика сотрудника по фишинговой ссылке до продажи его корпоративных облачных учетных данных может составить от нескольких часов до многих недель или месяцев.
Однако вредоносное ПО крадет не только пароли, оно также нацелено на несколько методов аутентификации и ключи API, чтобы извлечь максимум пользы из жертвы, в том числе:
- Ключи API и секретные ключи: часто встречаются в файлах конфигурации разработчиков.
Ключи API и секретные ключи: часто встречаются в файлах конфигурации разработчиков.
- Активные файлы cookie сеансов и токены: позволяют обойти многофакторную аутентификацию (MFA) путем перехвата уже аутентифицированного сеанса.
Активные файлы cookie сеансов и токены: позволяют обойти многофакторную аутентификацию (MFA) путем перехвата уже аутентифицированного сеанса.
Наш анализ секретов, обнаруженных на зараженных машинах с помощью интеграции Wiz с NordStellar, выявляет концентрированный ландшафт угроз, в котором доминирует небольшое число плодовитых семейств инфостиллеров: Lumma C2, RedLine и Vidar на долю которых приходится 85,7% всех обнаруженных инцидентов. Это подчеркивает превращение экосистемы инфостиллеров в биржевой товар, где горстка предложений вредоносного ПО как услуги доминирует на подпольном рынке.
Примечательно, что NordStellar выявляет более 400 различных типов неконфиденциальных секретов, подвергающихся сбору, что демонстрирует широту охвата злоумышленников, стремящихся монетизировать любой доступ, который они могут получить.
Украденные учетные данные облака являются основным результатом работы инфостиллеров: на AWS и GCP приходится соответственно 46% и 13% всех скомпрометированных секретов. Следующей крупной целью является GitHub, где токены приложений, токены OAuth и персональные токены доступа (PAT) составляют примерно 10% от общего объема. Платформы искусственного интеллекта также представляют собой значительную часть — 5% украденных секретов, во главе с ключами API OpenAI. Эти учетные данные ИИ высокодоходны; они позволяют злоумышленникам свободно запускать собственные рабочие нагрузки или перепродавать доступ в рамках теневого рынка перепродажи языковых моделей (LLM). Кроме того, эти ключи потенциально могут предоставить доступ к журналам исторических чатов, которые могут содержать конфиденциальные корпоративные данные, однако нам не известно о публичных случаях возникновения такого сценария.
Наш анализ данных также показывает, что традиционные методы распространения вредоносного ПО по-прежнему играют важную роль: легитимные исполняемые файлы Windows, такие как vbc.exe (компилятор Visual Basic), часто злоумышленники используют для выполнения, в то время как файлы, замаскированные под игры (например, Roblox.exe, Valorant SkinChanger.exe), указывают на нацеливание на личные машины разработчиков, которые часто менее защищены, чем корпоративные конечные точки.
Совсем недавно вредоносное ПО, похожее на инфостиллеры, такое как Miasma, нацелилось на CI/CD-пайплайны, сервера разработки и процессы сборки. В таких случаях фишинг не является применимым вектором первоначального доступа; вместо этого злоумышленники нацеливаются на часто используемую программную зависимость и перехватывают ее последнюю версию для внедрения вредоносного кода, который будет выполнен в среде жертвы. Эти CI/CD-инфостиллеры нацелены на ключи API, учетные данные облака, токены CI и артефакты развертывания, в конечном итоге злоупотребляя ими для деятельности после компрометации в отношении корпоративных организаций.
От конечной точки до облака
Путь к компрометации облака начинается на устройстве конечного пользователя, которое уже вошло в целевую службу и недавно было заражено инфостиллером. Вместо того чтобы пытаться взломать MFA, злоумышленники крадут токен сеанса, созданный после успешной аутентификации пользователя. Впоследствии используя этот украденный токен в собственном браузере, они получают доступ в качестве легитимного пользователя, полностью обходя запросы MFA. Один-единственный действительный токен сеанса для корпоративной системы, особенно если у пользователя есть высокие привилегии или доступ к конфиденциальной информации, может обеспечить доступ ко многим ресурсам в облачной среде целевой организации. В качестве примера см. наше недавно опубликованное расследование в отношении JINX-0164.
Помимо перехвата сеансов, злоумышленники также могут использовать долгосрочные ключи и учетные данные, собранные инфостиллерами, но ценность их различается в зависимости от целевой облачной среды, как подробно описано ниже.
Amazon Web Services (AWS)
В AWS злоумышленники сосредотачиваются на двух основных типах секретов. Первые — это долгосрочные ключи доступа IAM, которые часто хранятся в виде простого текста в конфигурационных файлах или исходном коде на рабочих станциях разработчиков. Вторая цель — активный файл cookie сеанса для консоли управления AWS. Кража этого файла cookie позволяет злоумышленнику по сути обойти требование MFA и получить прямой интерактивный доступ к облачным ресурсам жертвы, как описано выше.
Файлы cookie сеансов обычно извлекаются из дискового кэша каждого браузера. В современных браузеру их также можно извлечь непосредственно из памяти, либо путем внедрения кода в процесс браузера, либо путем подключения отладчика для чтения памяти с помощью API отладки.
При нацеливании на AWS основные файлы, представляющие интерес для злоумышленников, находятся в следующих местах (такие же файлы существуют в Windows в папке %USERPROFILE%).
- ~/.aws/config — хранит несекретные параметры конфигурации для AWS CLI и SDK, такие как регионы по умолчанию, форматы вывода и поименованные профили.
~/.aws/config — хранит несекретные параметры конфигурации для AWS CLI и SDK, такие как регионы по умолчанию, форматы вывода и поименованные профили.
- ~/.aws/credentials — содержит конфиденциальные ключи аутентификации, в частности AWS Access Key ID и Secret Access Key, разделенные по профилям.
~/.aws/credentials — содержит конфиденциальные ключи аутентификации, в частности AWS Access Key ID и Secret Access Key, разделенные по профилям.
- ~/.aws/cli/cache/ — временно хранит кэшированные ответы API и данные внутренних команд для повышения производительности AWS CLI и сокращения числа дублирующихся запросов к API.
~/.aws/cli/cache/ — временно хранит кэшированные ответы API и данные внутренних команд для повышения производительности AWS CLI и сокращения числа дублирующихся запросов к API.
- ~/.aws/sso/cache/ — содержит временные краткосрочные токены доступа и данные сеансов, создаваемые при аутентификации с использованием AWS IAM Identity Center (ранее AWS SSO).
~/.aws/sso/cache/ — содержит временные краткосрочные токены доступа и данные сеансов, создаваемые при аутентификации с использованием AWS IAM Identity Center (ранее AWS SSO).
Хотя файл конфигурации AWS (.aws/config) не содержит секретов, он точно указывает злоумышленнику, к каким профилям, ролям и учетным записям жертва имеет доступ. Злоумышленники объединяют эту информацию со секретами, хранящимися в других директориях.
Если файл учетных данных (.aws/credentials) настроен с помощью aws config, он включает в себя актуальные долгосрочные секреты, используемые для входа в AWS, в частности Access Key ID и Secret Access Key. По умолчанию временные токены SSO сюда не записываются; однако многие сторонние инструменты, используемые разработчиками (например, gimme-aws-creds), могут внедрять временные токены в этот файл для совместимости со старыми SDK. Более безопасной альтернативой является использование таких инструментов, как Granted, которые задействуют связку ключей операционной системы.
Когда пользователь проходит аутентификацию через SSO с помощью команды aws sso login, получаемые временные токены STS (Access Key, Secret Key и Session Token) изначально кэшируются в папке кэша CLI (.aws/cli/cache/). Срок действия этих токенов составляет от 1 до 12 часов в зависимости от настроек организации, что означает наличие активного окна, в течение которого токен уязвим для немедленной эксфильтрации и использования. Это делает токены STS менее полезными для операторов инфостилеров и их клиентов, если только они не смогут продать их немедленно.
Еще более критичной является папка кэша SSO (.aws/sso/cache/), которая содержит долгоживущие токены OIDC, создаваемые во время первоначального входа через SSO. Срок действия таких токенов обычно составляет до 90 дней. Если пользователь активно не выполняет команду aws sso logout или сеанс не аннулируется администратором, это многократно увеличивает окно уязвимости, позволяя операторам инфостилеров и их клиентам похитить токен, а затем непрерывно генерировать новые учетные данные AWS.
Microsoft Azure
Глубокая интеграция Azure с корпоративной идентификацией через Azure Active Directory (Entra ID) предоставляет возможности для первоначального доступа к средам Azure с помощью инфостилеров. Единая скомпрометированная учетная запись синхронизированного пользователя может стать мостом для латерального перемещения злоумышленников из локальной сети в облачную среду. Основной целью часто является компрометация учетной записи Azure AD с повышенными привилегиями, такой как Глобальный администратор, что обеспечивает контроль над всем облачным арендатором (tenant) и связанными с ним службами M365.
Такие хакерские группировки, как LAPSUS$, исторически специализировались на использовании украденных учетных данных для проникновения в Azure AD, иногда даже регистрируя собственное устройство в качестве «доверенного» для обхода политик условного доступа. Другим, более свежим примером является Miasma, которая целенаправленно атакует следующие файлы:
- .azure/accessTokens.json — хранит необработанные токены доступа в открытом виде, используемые в основном старыми версиями Azure CLI для аутентификации запросов API.
.azure/accessTokens.json — хранит необработанные токены доступа в открытом виде, используемые в основном старыми версиями Azure CLI для аутентификации запросов API.
- .azure/msal_token_cache.* — служит современным кэшем токенов для Azure CLI, надежно храня данные сеансов и токены доступа с помощью библиотеки Microsoft Authentication Library (MSAL).
.azure/msal_token_cache.* — служит современным кэшем токенов для Azure CLI, надежно храня данные сеансов и токены доступа с помощью библиотеки Microsoft Authentication Library (MSAL).
Современные инфостилеры нацелены именно на критически важные директории, связанные с облачной разработкой в Azure, с целью компрометации учетных данных. Их главная задача — папка кэша аутентификации Azure CLI (%USERPROFILE%\.azure), которая содержит файлы конфигурации в открытом виде с высокой степенью конфиденциальности.
Самой ценной целью в этой экосистеме является accessTokens.json. Этот файл содержит сырые токены доступа Azure, долгоживущие токены обновления (refresh tokens), идентификаторы тенантов, идентификаторы ресурсов и метки времени истечения срока действия. Его кража предоставляет немедленный программный доступ к API Azure Resource Manager (ARM), полностью обходя необходимость использования веб-порталов. Вторичной, но все же жизненно важной целью является azureProfile.json. Хотя в нем нет прямых секретов, он раскрывает ключевые данные для разведки, такие как идентификаторы подписок, тенанты по умолчанию и имя участника-пользователя (UPN), что позволяет злоумышленникам создавать сценарии автоматизированного латерального перемещения с полным пониманием облачной среды жертвы.
Кроме того, приложения, использующие библиотеку Microsoft Authentication Library (MSAL), создают локальные кэши идентификационных данных, которые часто находятся по путям %localappdata%\.IdentityService\msal.cache или msalv2.cache. Эти кэши хранят исчерпывающие токены доступа и обновления Entra ID, идентификаторы учетных записей и конкретные области разрешений для основных сервисов Microsoft (Graph, Outlook, SharePoint и вычислений Azure). Что критически важно, они также содержат идентификаторы клиентов приложений (Application Client IDs), позволяя злоумышленникам перехватывать активные сеансы, выдавать себя за доверенные корпоративные приложения и тем самым избегать обнаружения аномалий.
Ярким примером такого таргетинга является вредоносное ПО Vidar 2.0, которое имеет специальную логику для перечисления директории %USERPROFILE%\.azure, используя ее для извлечения учетных данных Azure и эксфильтрации этих данных обратно злоумышленникам.
Google Cloud Platform (GCP)
Основной риск в GCP связан с долгоживущими переносимыми ключами служебных учетных записей. Эти файлы JSON с ключами, которые предоставляют программный доступ, являются главной целью для инфостилеров, сканирующих машины разработчиков. Украденный ключ, связанный с привилегированной служебной учетной записью, может предоставить злоумышленнику немедленный и полный контроль над проектом GCP.
При атаке на GCP наибольшую ценность для злоумышленников представляют следующие файлы и переменные среды:
- credentials.db — база данных SQLite, содержащая долгоживущие токены обновления OAuth 2.0, используемые gcloud CLI.
credentials.db — база данных SQLite, содержащая долгоживущие токены обновления OAuth 2.0, используемые gcloud CLI.
- access_tokens.db — база данных SQLite, в которой хранятся активные токены доступа, используемые gcloud CLI для взаимодействия с API Google.
access_tokens.db — база данных SQLite, в которой хранятся активные токены доступа, используемые gcloud CLI для взаимодействия с API Google.
- application_default_credentials.json — JSON-документ, используемый фреймворком Google Application Default Credentials (ADC) для предоставления аутентификации клиентским библиотекам Google Cloud.
application_default_credentials.json — JSON-документ, используемый фреймворком Google Application Default Credentials (ADC) для предоставления аутентификации клиентским библиотекам Google Cloud.
- $GOOGLE_APPLICATION_CREDENTIALS — переменная среды, которая указывает на точный путь к файлу с высокопривилегированными JSON-ключами сервисных аккаунтов, используемым в производственных или тестовых средах.
$GOOGLE_APPLICATION_CREDENTIALS — переменная переменная среды, которая указывает на точный путь к файлу с высокопривилегированными JSON-ключами сервисных аккаунтов, используемым в производственных или тестовых средах.
Основной инструмент командной строки Google Cloud, gcloud, хранит состояние аутентификации, метаданные проектов и данные конфигурации сеансов в предсказуемых локальных каталогах. В системах Linux и macOS эти критически важные данные обычно находятся в директории ~/.config/gcloud/, в то время как операционные системы Windows используют каталог %appdata%\gcloud\. Стилеры информации используют точные, зашитые в код алгоритмы поиска, предназначенные для сбора следующих высокоценных артефактов GCP:
Прежде всего, это файлы credentials.db и access_tokens.db. Эти базы данных SQLite содержат крайне конфиденциальные токены обновления OAuth 2.0 и активные токены доступа, используемые CLI gcloud для взаимодействия с API Google. Кража этих конкретных баз данных представляет особую ценность, поскольку токены обновления Google Cloud, как правило, не истекают автоматически, если они явно не отозваны администратором или не подпадают под действие чрезвычайно строгих организационных политик. Следовательно, их кража предоставляет злоумышленникам постоянный долгосрочный программный доступ ко всей среде GCP.
Во-вторых, стилеры информации нацелены на файл application_default_credentials.json. Этот JSON-документ является критически важным базовым компонентом фреймворка Google Application Default Credentials (ADC), который используется клиентскими библиотеками Google Cloud для автоматического обнаружения и использования учетных данных аутентификации во время разработки приложений. Примером недавнего вредоносного ПО, нацеленного на эти файлы, является вредоносная программа TeamPCP LiteLLM для атак на цепочку поставок, которая содержала эти конкретные пути в своем списке целей для эксфильтрации.
Наконец, изощренные варианты вредоносного ПО, особенно те, которые осуществляют автоматизированные атаки на цепочки поставок, целенаправленно ищут переменные среды, уделяя основное внимание $GOOGLE_APPLICATION_CREDENTIALS. В производственных и тестовых средах эта переменная указывает на точное расположение файлов с JSON-ключами сервисных аккаунтов в файловой системе. Злоумышленники анализируют переменные среды, извлекают целевой путь, а затем эксфильтруют сопутствующий файл JSON-ключа, что предоставляет им немедленный программный доступ к вычислительным службам и службам хранения GCP в качестве высокопривилегированной нечеловеческой сущности (сервисного аккаунта), созданной Google Cloud.
GitHub
Учетные данные GitHub представляют собой высокоценную цель для стилеров информации из-за ключевой роли платформы в разработке программного обеспечения и конфиденциальной интеллектуальной собственности, хранящейся в частных репозиториях. Украденный сеанс GitHub или персональный токен доступа (PAT) предоставляет злоумышленникам доступ не только к исходному коду, но и к секретам CI/CD, конвейерам развертывания, а также потенциально дает возможность внедрять вредоносный код непосредственно в цепочки поставок ПО. Подтверждая свой статус главной цели, наш анализ показывает, что около 50% семейств вредоносного ПО для кражи информации в настоящее время активно собирают учетные данные GitHub, что делает его четвертым по популярности секретом среди всех вредоносных штаммов.
При атаке на GitHub злоумышленники фокусируются на следующих файлах и артефактах:
- ~/.config/gh/hosts.yml (или %APPDATA%\GitHub CLI\hosts.yml) — хранит токены OAuth и параметры конфигурации, используемые интерфейсом командной строки GitHub (gh) для авторизации доступа к вашим учетным записям GitHub.
~/.config/gh/hosts.yml (или %APPDATA%\GitHub CLI\hosts.yml) — хранит токены OAuth и параметры конфигурации, используемые интерфейсом командной строки GitHub (gh) для авторизации доступа к вашим учетным записям GitHub.
- ~/.git-credentials (или $XDG_CONFIG_HOME/git/credentials) — содержит открытым текстом имена пользователей, пароли или персональные токены доступа (PAT), используемые Git для аутентификации HTTPS-соединений с удаленными репозиториями.
~/.git-credentials (или $XDG_CONFIG_HOME/git/credentials) — содержит открытым текстом имена пользователей, пароли или персональные токены доступа (PAT), используемые Git для аутентификации HTTPS-соединений с удаленными репозиториями.
- ~/.ssh/id_rsa, ~/.ssh/id_ed25519 — содержат закрытые SSH-ключи, используемые для установления безопасного соединения, обычно применяемые для аутентификации без ввода пароля на удаленных серверах Git.
~/.ssh/id_rsa, ~/.ssh/id_ed25519 — содержат закрытые SSH-ключи, используемые для установления безопасного соединения, обычно применяемые для аутентификации без ввода пароля на удаленных серверах Git.
- GITHUB_TOKEN, GH_TOKEN — переменные среды, часто используемые в рабочих процессах CI/CD и при локальной разработке для предоставления активных токенов доступа с целью программной аутентификации в API и CLI GitHub.
GITHUB_TOKEN, GH_TOKEN — переменные среды, часто используемые в рабочих процессах CI/CD и при локальной разработке для предоставления активных токенов доступа с целью программной аутентификации в API и CLI GitHub.
Интерфейс командной строки GitHub (gh) хранит токены OAuth в файле hosts.yml, который содержит токены в виде обычного текста (с префиксом gho_), если системная связка ключей недоступна. Аналогичным образом, пользователи, выполняющие аутентификацию через HTTPS, часто полагаются на вспомогательный модуль git-credential-store, который записывает учетные данные в виде открытого текста в файл ~/.git-credentials в формате https://username:token@github.com.
SSH-ключи также остаются постоянной целью. Такие стилеры информации, как Ghost Loader, целенаправленно извлекают файл ~/.ssh/id_rsa для получения долгосрочного доступа к GitHub. Для перехвата сеансов злоумышленники нацеливаются на файлы cookie браузера, включая user_session, __Host-user_session_same_site и _gh_sess. Кража этих файлов cookie позволяет полностью обойти многофакторную аутентификацию (MFA). Крупные семейства стилеров информации, включая Lumma и RedLine, систематически похищают файлы cookie браузера и хранилища учетных данных, содержащие сеансы GitHub.
GitLab
GitLab представляет собой поверхность атаки, аналогичную GitHub, поскольку компрометация учетных данных GitLab может предоставить доступ к исходному коду, переменным CI/CD, содержащим секреты развертывания, и реестрам контейнеров.
При атаке на GitLab злоумышленники фокусируются на следующих файлах и переменных:
- ~/.config/glab-cli/config.yml (или %USERPROFILE%\.config\glab-cli\config.yml) — хранит параметры конфигурации и персональные токены доступа, используемые официальным интерфейсом командной строки GitLab (glab) для аутентификации и взаимодействия с экземплярами GitLab.
~/.config/glab-cli/config.yml (или %USERPROFILE%\.config\glab-cli\config.yml) — хранит параметры конфигурации и персональные токены доступа, используемые официальным интерфейсом командной строки GitLab (glab) для аутентификации и взаимодействия с экземплярами GitLab.
- /etc/gitlab-runner/config.toml (или ~/.gitlab-runner/config.toml) — содержит настройки конфигурации и конфиденциальные токены регистрации для GitLab Runner, отвечающих за выполнение заданий CI/CD.
/etc/gitlab-runner/config.toml (или ~/.gitlab-runner/config.toml) — содержит настройки конфигурации и конфиденциальные токены регистрации для GitLab Runners, отвечающих за выполнение CI/CD-задач.
- GITLAB_TOKEN, GITLAB_ACCESS_TOKEN, CI_JOB_TOKEN — переменные окружения, часто используемые в сценариях автоматизации и CI/CD-пайплайнах для обеспечения программной аутентификации на основе токенов в API и репозиториях GitLab.
GITLAB_TOKEN, GITLAB_ACCESS_TOKEN, CI_JOB_TOKEN — переменные окружения, часто используемые в сценариях автоматизации и CI/CD-пайплайнах для обеспечения программной аутентификации на основе токенов в API и репозиториях GitLab.
Интерфейс командной строки GitLab (glab) хранит токены аутентификации в файле config.yml, который содержит токены в виде открытого текста, если только при аутентификации не был явно использован флаг --use-keyring. Многие разработчики также хранят персональные токены доступа GitLab (PAT) в файлах ~/.netrc в формате machine gitlab.com login oauth2 password <token>.
Конфигурационные файлы GitLab Runner (config.toml) представляют собой особенно ценные цели. Эти файлы содержат токены аутентификации раннеров (с префиксом glrt-), которые позволяют злоумышленникам регистрировать поддельные раннеры, перехватывать CI/CD-задачи или получать доступ к секретам, раскрываемым во время выполнения пайплайна.
Для перехвата сеанса основной целью является cookie-файл _gitlab_session: путем внедрения украденного cookie в собственный веб-браузер злоумышленник полностью принимает на себя личность жертвы в веб-интерфейсе GitLab.
В ходе кампаний эксплуатировались уязвимости в размещаемых самостоятельно экземплярах GitLab (такие как CVE-2023-7028) для распространения стилеров информации (infostealers), таких как StealC, через загрузчик Amadey. После развертывания эти стилеры собирают учетные данные браузера и файлы cookie, которые часто включают токенов сеанса GitLab среди более чем 17 миллиардов файлов cookie браузеров, похищаемых ежегодно.
OpenAI API и ChatGPT
Чтобы обойти аутентификацию на веб-платформе ChatGPT, инфоброкеры и стилеры целенаправленно атакуют cookie-файл __Secure-next-auth.session-token. Когда пользователь входит в ChatGPT, этот токен генерируется и сохраняется в локальной базе данных cookie браузера для поддержания сеанса. Извлекая значение __Secure-next-auth.session-token, злоумышленники могут использовать его в своем собственном браузере и полностью перехватить сеанс. Это дает злоумышленнику доступ к истории чатов жертвы, которая часто содержит конфиденциальные корпоративные данные, проприетарный исходный код и внутренние бизнес-стратегии.
Помимо файлов cookie веб-сеансов, разработчики и автономные ИИ-агенты представляют собой огромную поверхность атаки для компрометации инфраструктуры OpenAI. Стилеры информации систематически сканируют среды разработчиков на наличие файлов вроде credentials.json или .env, в которых активные ключи OpenAI API (OPENAI_API_KEY) хранятся в открытом виде.
Anthropic Claude Code
Поскольку ИИ-помощники по написанию кода, такие как Claude Code и Codex, становятся неотъемлемой частью рабочих процессов разработчиков, они превратились в новую категорию целей для кражи учетных данных. Эти инструменты хранят токены аутентификации и конфигурацию, которые злоумышленники могут использовать для злоупотребления API, получения доступа к конфиденциальной истории разговоров и бокового перемещения в подключенную облачную инфраструктуру.
В качестве примера Claude Code злоумышленники часто сосредотачиваются на следующих файлах:
- ~/.claude/.credentials.json (Linux) — хранит OAuth-токены в открытом тексте.
~/.claude/.credentials.json (Linux) — хранит OAuth-токены в открытом тексте.
