GhostClaw يسرق بيانات محافظ العملات المشفرة من المطورين

برمجية خبيثة جديدة تُدعى GhostClaw تستهدف محافظ العملات المشفرة على أجهزة macOS. يلتقط المثبت المزيف لـ OpenClaw المفاتيح الخاصة، ووصول المحفظة، وبيانات حساسة أخرى بعد التثبيت.

تم تحميل الحزمة المزيفة بواسطة مستخدم يُدعى 'openclaw-ai' في 3 مارس. بقيت في سجل npm لمدة أسبوع وأصابت 178 مطوراً قبل إزالتها في 10 مارس.

قدم @openclaw-ai/openclawai نفسه كأداة CLI شرعية لـ OpenClaw، لكنه في الواقع شن هجوماً متعدد المراحل.

جمعت البرمجية الخبيثة بيانات حساسة من المطورين. استخرجت محافظ العملات المشفرة، وكلمات مرور macOS Keychain، وبيانات اعتماد السحابة، ومفاتيح SSH، وإعدادات وكلاء الذكاء الاصطناعي. تربط البيانات المستخرجة المخترقين بمنصات السحابة، ومجموعات التعليمات البرمجية، والعملات المشفرة.

تفحص GhostClaw الحافظة بحثاً عن بيانات العملات المشفرة كل ثلاث ثوانٍ

تراقب البرمجية الخبيثة الحافظة كل ثلاث ثوانٍ لالتقاط بيانات العملات المشفرة. ويشمل ذلك المفاتيح الخاصة، والعبارات البذرية، والمفاتيح العامة، وبيانات حساسة أخرى تتعلق بمحافظ العملات المشفرة والمعاملات.

بمجرد تشغيل المطور لأمر 'npm install'، يقوم سكريبت مخفي بتثبيت حزمة GhostClaw على النظام ككل. تقوم الأداة بتشغيل ملف إعداد مشفر على أجهزة المطورين لتجنب الكشف عنها.

يظهر بعد ذلك مثبت CLI مزيف لـ OpenClaw على الشاشة. يطلب من الضحية إدخال كلمة مرور macOS من خلال طلب Keychain. تتحقق البرمجية الخبيثة من كلمة المرور باستخدام أداة نظام أصلية. بعد ذلك، تقوم بتنزيل حمولة JavaScript ثانية من خادم C2 عن بُعد. تعمل الحمولة، المسماة GhostLoader، كأداة لسرقة البيانات والوصول عن بُعد.

تبدأ سرقة البيانات بعد تنزيل الحمولة الثانية. تقوم GhostLoader بالعمل الشاق. تفحص متصفحات Chromium، وKeychain لنظام التشغيل Macintosh (macOS)، وتخزين النظام بحثاً عن بيانات محافظ العملات المشفرة. كما تراقب الحافظة بشكل مستمر تقريباً لالتقاط بيانات العملات المشفرة الحساسة.

حتى أن البرمجية الخبيثة تقوم باستنساخ جلسات المتصفح. وهذا يمنح المخترقين وصولاً مباشراً إلى محافظ العملات المشفرة المسجلة الدخول والخدمات الأخرى ذات الصلة. علاوة على ذلك، تسرق الأداة الخبيثة رموز API التي تربط المطورين بمنصات الذكاء الاصطناعي مثل OpenAI وAnthropic.

يتم إرسال البيانات المسروقة بعد ذلك إلى الجهات الفاعلة الخبيثة عبر Telegram وGoFile وخوادم الأوامر. يمكن للبرمجية الخبيثة أيضاً تشغيل العديد من الأوامر، ونشر المزيد من الحمولات، وفتح قنوات وصول عن بُعد جديدة.

مجتمع OpenClaw يتلقى عرضاً مجانياً مزيفاً لرموز CLAW

حملة خبيثة أخرى تعتمد على ضجة OpenClaw المنتشرة على GitHub. تهدف البرمجية الخبيثة ، التي اكتشفها باحثو الأمن السيبراني من OX Security، إلى التواصل مع المطورين مباشرة وسرقة بيانات العملات المشفرة.

ينشئ المهاجمون خيوط قضايا في مستودعات GitHub ويشاركون الضحايا المحتملين. ثم يدعون كذباً أن المطورين المختارين مؤهلون لتلقي 5000 دولار من رموز CLAW.

تقود الرسائل المطوّرَين المستلمين بعد ذلك إلى موقع ويب مزيف يبدو مطابقًا تمامًا لـ openclaw[.]ai. يرسل موقع التصيد هذا طلبًا لربط محفظة عملات رقمية، مما يبدأ إجراءات ضارة عند قبولها من قبل الضحية. يحذر باحثو OX Security من أن ربط محفظة بالعملات الرقمية بالموقع قد يؤدي إلى سرقة فورية لأموال العملات الرقمية.

يكشف التحليل الإضافي للهجوم أن إعداد التصيد يستخدم سلسلة تحويلات نحو token-claw[.]xyz وخادم أوامر موجود على watery-compost[.]today. ثم يسرق ملف JavaScript يحتوي على كود ضالع عناوين محافظ العملات الرقمية والمعاملات ويرسلها إلى المخترق.

وجدت OX Security عنوان محفظة مرتبطًا بفاعل التهديد الذي قد يحتوي على عملات رقمية مسروقة. يحتوي الكود الضار على ميزات لمراقبة إجراءات المستخدم وإزالة البيانات من التخزين المحلي. يجعل هذا اكتشاف البرمجيات الخبيثة وتحليلها أكثر صعوبة.

يركز المهاجمون على الأرجح على المستخدمين الذين تفاعلوا مع المستودعات المتعلقة بـ OpenClaw لزيادة فرصهم في سرقة العملات المشفرة.

يعتمد كلا الهجومين على الهندسة الاجتماعية كنقطة دخول إلى محافظ العملات الرقمية للضحايا. يجب على المستخدمين عدم ربط محافظ العملات الرقمية بمواقع غير معروفة والحذر من عروض الرموز غير المرغوب فيها على GitHub.