Aokigahara, l’infostealer che ruba le sessioni di Claude, ChatGPT e Cursor

Per anni gli infostealer hanno inseguito password salvate nel browser, cookie di sessione e portafogli di criptovalute. Ora l’elenco dei bersagli si allunga: un malware chiamato Aokigahara raccoglie anche le credenziali e le sessioni locali degli assistenti AI che molti sviluppatori usano ogni giorno, da Claude Code a ChatGPT Desktop, da Codex a Cursor. Lo ha descritto il 23 ottobre 2026 Check Point Research nell’analisi intitolata “Infostealer riding the AI Train”, e la notizia riguarda chiunque lavori con questi strumenti su un PC Windows.

Cos’è Aokigahara e chi ne ha parlato

Aokigahara è un infostealer per Windows, cioè un programma malevolo progettato per copiare in silenzio dati sensibili dal computer della vittima e inviarli a un server controllato dagli attaccanti. Prima dell’analisi di Check Point, il 15 ottobre, anche il Threat Hunter Team di Symantec e Carbon Black aveva già segnalato lo stesso malware, indicato anche con il nome Aoki, notando che nei campioni più recenti comparivano funzioni legate all’intelligenza artificiale assenti in quelli più vecchi.

Secondo Check Point, una versione precedente potrebbe essere circolata con nomi come Kamidere o Stygian. Il quadro che emerge è quello di una famiglia di malware in evoluzione, che ha aggiunto un modulo dedicato agli strumenti AI proprio perché sono diventati una miniera di accessi.

Il punto non è che Aokigahara sia tecnicamente rivoluzionario. È che segue dove si sono spostati i dati di valore.

Quali strumenti AI finiscono nel mirino

Il malware è organizzato a moduli, ognuno con un nome interno e una funzione precisa. Accanto ai moduli classici, che rubano password e cookie dei browser Chromium e Firefox, wallet di criptovalute, dati di Discord, Telegram e Steam, client di posta, VPN, gestori di password come KeePass e Bitwarden, screenshot e contenuto degli appunti, ce n’è uno chiamato aisessions, pensato per gli assistenti AI.

I file che cerca

Il modulo va a caccia di file di autenticazione, dati di sessione e configurazioni locali. L’elenco di applicazioni citate da Check Point comprende Claude Code e Claude Desktop, ChatGPT Desktop, Codex, Cursor, Windsurf, Kiro, GitHub Copilot, Gemini CLI, JetBrains AI Assistant, Amazon Q con AWS CLI e SSO, oltre a Codeium. Tra i file esaminati ci sono per esempio le credenziali della cartella di Claude, il file di autenticazione di Codex e i database di stato di Cursor e Windsurf.

Un secondo modulo, chiamato ide, guarda invece agli ambienti di sviluppo come VS Code, Cursor, Windsurf e JetBrains. Qui il bottino sono credenziali Git, contenuto della cartella SSH e configurazioni di AWS, Azure e Google Cloud. In pratica, chi sviluppa con un assistente AI ha spesso sullo stesso computer sia l’accesso al modello sia le chiavi dell’infrastruttura.

Va però aggiunta una precisazione onesta: non tutti i file presi di mira contengono per forza un segreto utilizzabile. Check Point sottolinea che trovarsi nell’elenco di raccolta non equivale a una compromissione effettiva.

Come funziona il furto dei dati

Dal punto di vista tecnico, la configurazione del malware è cifrata e include fino a tre indirizzi di riserva per il server di comando e controllo. Una maschera di bit decide quali moduli vengono eseguiti, ma tutti restano incorporati nel file anche quando sono disattivati. Questo significa che lo stesso binario può essere usato in campagne diverse, accendendo o spegnendo la parte dedicata all’AI.

Quando entra in azione, Aokigahara avvia con il server uno scambio di chiavi e poi carica i dati in archivi ZIP cifrati, uno per modulo. Le intestazioni delle richieste indicano la categoria del contenuto, e una di queste è proprio aisessions. Al termine invia un marcatore di completamento e ripulisce le tracce in locale. Check Point avverte che quel marcatore non dimostra che ogni caricamento sia andato a buon fine.

Il malware include inoltre controlli anti-analisi: rileva macchine virtuali e sandbox, cerca nomi utente tipici degli ambienti di analisi e, se l’opzione è attiva, si ferma quando la lingua o il layout di tastiera del sistema corrispondono a un elenco di aree russofone e dell’Asia centrale e del Caucaso. È un comportamento comune in diverse famiglie di malware e indica come gli autori vogliano evitare certi bersagli e certi analisti.

Perché le sessioni AI valgono così tanto

Una sessione di un assistente AI non è un semplice login. Dà accesso a cronologia delle conversazioni, file caricati, progetti e, nel caso di strumenti per programmatori, a repository, terminali e a volte a credenziali di servizi cloud. Check Point stessa nota che queste informazioni vanno trattate come asset sensibili, al pari di sessioni del browser, credenziali cloud e chiavi di sviluppo, e che conversazioni e file potrebbero perfino servire per estorsioni.

Chi ha letto il nostro approfondimento su l’avviso di Anthropic sugli infostealer che rubano le sessioni di Claude riconoscerà lo schema: gli attaccanti non devono violare il fornitore del modello, gli basta copiare ciò che il tuo computer conserva in locale. Anche in questo caso Check Point non conferma alcuna violazione dei fornitori di AI né spiega come gli operatori monetizzino gli accessi rubati.

Il tema si incrocia con altri rischi per gli agenti. Se vuoi capire come anche un semplice file nella cartella dei download possa dirottare un assistente di programmazione, trovi il caso descritto in AGENTS.md nei Download e l’attacco a Codex e Claude Code. E sul fronte delle difese di sistema, vale la pena rileggere come Apple stringe il full disk access su macOS per limitare gli agenti AI.

Cosa cambia per te, sviluppatore o professionista

La prima conseguenza è culturale: i token di un assistente AI vanno custoditi come le chiavi di un server. Chi usa strumenti come ChatGPT Desktop, Codex o Cursor su Windows dovrebbe considerare quei file locali un obiettivo concreto, soprattutto se lavora su macchine usate anche per scaricare software da fonti poco affidabili. Se ti serve una panoramica dell’ecosistema, la nostra guida a ChatGPT è un buon punto di partenza.

Le mosse pratiche

Se sospetti che un computer sia stato infettato, smetti di effettuare accessi sensibili da quel dispositivo e, da un altro apparecchio pulito, revoca sessioni e token, cambia le password coinvolte e sostituisci le chiavi API esposte usando i controlli di ciascun fornitore. Cambiare solo la password può non bastare, perché le chiavi API e le sessioni già attive possono restare valide.

Controlla poi i registri di utilizzo, fatturazione e accesso dei servizi collegati, alla ricerca di richieste anomale, e fai una scansione completa del sistema con uno strumento di sicurezza affidabile. Una scansione però non revoca gli accessi già sottratti: la rotazione delle credenziali resta indispensabile.

Sul piano preventivo, scarica software solo da fonti ufficiali, tieni separate le chiavi di produzione dai computer di lavoro quotidiano, usa permessi minimi per le chiavi API e attiva l’autenticazione a più fattori ovunque sia disponibile. Sono misure semplici, ma riducono molto il danno se un infostealer riesce comunque a entrare.

Il segnale di fondo

Aokigahara è l’ennesima prova che l’adozione di massa degli assistenti AI crea una nuova superficie di attacco. Finché questi strumenti conservano sul disco sessioni e credenziali in file leggibili da qualsiasi programma eseguito dall’utente, i criminali continueranno ad aggiungerli ai propri elenchi di raccolta, accanto a wallet e password del browser.

La notizia buona è che la difesa è alla portata di tutti: igiene digitale, rotazione delle chiavi e attenzione a ciò che installi. Per i dettagli tecnici e gli indicatori di compromissione puoi consultare l’analisi originale di Check Point Research.

Conclusioni

Controlla oggi stesso quali assistenti AI hai installato sui tuoi computer, quali chiavi hai lasciato salvate e quando le hai cambiate per l’ultima volta. Se lavori con questi strumenti per professione, dedicare mezz’ora a ruotare token e chiavi è un investimento minimo rispetto al costo di un accesso rubato. Seguici per restare aggiornato sulle minacce che riguardano l’intelligenza artificiale e sulle contromisure più efficaci.