Logiciel malveillant · · 4 min de lecture
Un nouveau voleur d’informations s’attaque aux connexions des outils d’IA
Selon Check Point, Aokigahara vole mots de passe, témoins et portefeuilles, ainsi que les fichiers de connexion d’assistants IA, de Git, de clés SSH et de comptes infonuagiques.
Les logiciels malveillants voleurs d’informations visent généralement les mêmes choses : les mots de passe enregistrés dans le navigateur, les témoins de session et les portefeuilles de cryptomonnaie. Une souche décrite par Check Point Research le 23 octobre 2026, appelée Aokigahara, fait tout cela et ajoute quelque chose de plus récent : les fichiers de connexion des assistants IA et des outils de programmation. Si vous utilisez des outils d’IA sur un PC Windows, voici ce qu’elle prend et quoi faire.
Ce que Check Point a trouvé
L’analyse (en anglais) de Check Point indique qu’Aokigahara est un voleur pour Windows nouvellement observé, dont une version antérieure aurait pu être connue sous le nom de Kamidere ou Stygian. Il recueille :
- les mots de passe et témoins enregistrés dans Chrome, Edge, Firefox et de nombreux autres navigateurs
- les portefeuilles de cryptomonnaie de bureau et les extensions de portefeuille
- les données de Discord, Telegram et Steam, et d’autres comptes de jeux
- les données de gestionnaires de mots de passe, les configurations de RPV, les clients FTP et les applis de courriel
- des fichiers du Bureau et des dossiers Documents et Téléchargements, une capture d’écran et le presse-papiers
Ce qui se démarque, c’est un module visant les outils d’IA et de développement. Il cherche les fichiers où des applis comme Claude, ChatGPT Desktop, Codex, GitHub Copilot, Gemini CLI, JetBrains AI Assistant et plusieurs éditeurs de code IA conservent leurs jetons de connexion et leurs réglages. Un autre module prend les identifiants Git, les clés privées SSH et les identifiants AWS, Azure et Google Cloud.
Check Point affirme que des sessions IA volées pourraient servir à consommer des services payants, être revendues, ou permettre de lire des conversations privées et des fichiers téléversés. Elle précise aussi que son analyse ne confirme pas comment les opérateurs tirent réellement profit des données. Le rapport ne dit pas comment le logiciel malveillant est distribué.
Ce que ça veut dire pour vous
Les fichiers de session fonctionnent comme des témoins : ils permettent d’utiliser votre compte sans votre mot de passe ni votre code d’authentification à deux facteurs. Si vous utilisez un assistant IA au travail, une session volée peut exposer tout ce que vous y avez collé, du code aux contrats. Pour les développeurs, les clés Git, SSH et infonuagiques valent souvent plus que n’importe quel compte.
Ce que vous pouvez faire
- Faites attention à ce que vous exécutez. Les voleurs arrivent généralement par des logiciels piratés, de faux téléchargements, des tricheries de jeux, ou de fausses pages « prouvez que vous êtes humain » qui demandent de coller une commande. Voyez l’indice qui trahit les faux CAPTCHA.
- Si vous pensez avoir exécuté quelque chose de malveillant, nettoyez d’abord l’ordinateur. Lancez une analyse complète avec un logiciel de sécurité à jour, ou réinstallez Windows en cas de doute. Changer vos mots de passe sur un PC infecté ne fait que livrer les nouveaux.
- Puis déconnectez-vous partout à partir d’un appareil sain. Pour chaque compte important, y compris vos outils d’IA, utilisez « se déconnecter de toutes les sessions » ou révoquez les jetons de l’appli, puis changez le mot de passe. Notre guide sur comment les voleurs d’informations dérobent les sessions explique la marche à suivre.
- Développeurs : remplacez vos clés. Révoquez les jetons Git, remplacez les clés SSH et renouvelez les identifiants infonuagiques qui se trouvaient sur cette machine. Vérifiez l’activité récente de votre compte infonuagique.
- Utilisez des clés d’accès ou des clés matérielles quand c’est possible. Elles n’empêchent pas le vol de session, mais elles empêchent qu’un mot de passe volé serve à ouvrir une nouvelle session.
Comment Frame peut aider
Frame tient un catalogue des fuites connues et vous permet d’ajouter à une adresse courriel vérifiée celles dont vous savez avoir fait partie. Frame montre ce que chacune a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. La recherche automatique de fuites n’est pas encore offerte. Nous ne recueillons ni ne conservons jamais les données divulguées elles-mêmes.
Sources
- Check Point Research, Infostealer riding the AI Train (en anglais), 23 octobre 2026
Les nouveaux articles, par courriel.
Environ une fois par mois. Des notes sur la vie privée en termes simples, rien d’autre. Je ne partage jamais votre adresse.