- GhostClaw erfasst nach der Installation private Schlüssel, Wallet-Zugänge und andere sensible Daten.
- Die Malware überwacht die Zwischenablage alle drei Sekunden, um Krypto-Daten abzufangen.
- Der bösartige Code verfügt über Funktionen zur Überwachung von Benutzeraktionen und zum Löschen von Daten aus dem lokalen Speicher.
Eine neue Malware namens GhostClaw zielt auf Krypto-Wallets auf macOS-Maschinen ab. Der gefälschte OpenClaw-Installer erfasst private Schlüssel, Wallet-Zugriff und andere sensible Daten nach der Installation.
Das gefälschte Paket wurde am 3. März von einem Benutzer namens ‚openclaw-ai‘ hochgeladen. Es blieb eine Woche lang im npm-Registry und infizierte 178 Entwickler, bevor es am 10. März entfernt wurde.
@openclaw-ai/openclawai gab sich als legitimes OpenClaw-CLI-Tool aus, führte stattdessen jedoch einen mehrstufigen Angriff durch.
Die Malware sammelte sensible Daten von Entwicklern ein. Sie extrahierte Krypto-Wallets, macOS-Keychain-Passwörter, Cloud-Anmeldeinformationen, SSH-Schlüssel und AI-Agent-Konfigurationen. Die extrahierten Daten verbinden Hacker mit Cloud-Plattformen, Codebasen und Krypto-Assets.
GhostClaw scannt die Zwischenablage alle drei Sekunden nach Krypto-Daten
Die Malware überwacht die Zwischenablage alle drei Sekunden, um Krypto-Daten abzufangen. Dazu gehören private Schlüssel, Seed-Phrasen, öffentliche Schlüssel und andere sensible Daten im Zusammenhang mit Krypto-Wallets und Transaktionen.
Sobald der Entwickler den Befehl ‚npm install‘ ausführt, installiert ein verstecktes Skript das GhostClaw-Paket global. Das Tool führt eine verschleierte Setup-Datei auf den Maschinen der Entwickler aus, um Entdeckungen zu vermeiden.
Dann erscheint ein gefälschter OpenClaw-CLI-Installer auf dem Bildschirm. Er fordert das Opfer auf, sein macOS-Passwort über eine Keychain-Anfrage einzugeben. Die Malware überprüft das Passwort mit einem nativen Systemtool. Anschließend lädt sie ein zweites JavaScript-Payload von einem Remote-C2-Server herunter. Das Payload, genannt GhostLoader, fungiert als Data-Stealer und Remote-Access-Tool.
Der Datendiebstahl beginnt nach dem Download des zweiten Payloads. GhostLoader übernimmt die Hauptarbeit. Es scannt Chromium-Browser, den Macintosh-Betriebssystem-Keychain (macOS) und den Systemspeicher nach Krypto-Wallet-Daten. Außerdem überwacht es die Zwischenablage fast durchgehend, um sensible Krypto-Daten abzufangen.
Die Malware klonnt sogar Browsersitzungen. Dies gibt Hackern direkten Zugriff auf angemeldete Krypto-Wallets und andere damit verbundene Dienste. Darüber hinaus stiehlt das bösartige Tool API-Tokens, die Entwickler mit KI-Plattformen wie OpenAI und Anthropic verbinden.
Die gestohlenen Daten werden dann über Telegram, GoFile und Command-Server an Bedrohungsschauspieler gesendet. Die Malware kann zudem zahlreiche Befehle ausführen, weitere Payloads bereitstellen und neue Remote-Access-Kanäle öffnen.
OpenClaw-Community trifft auf gefälschten CLAW-Token-Airdrop
Eine weitere bösartige Kampagne, die sich auf den Hype um OpenClaw stützt, verbreitete sich auf GitHub. Die Malware, die von Cybersicherheitsforschern von OX Security entdeckt wurde, zielt darauf ab, Entwickler direkt zu kontaktieren und Kryptodaten zu stehlen.
Angreifer erstellen Issue-Threads in GitHub-Repositories und taggen potenzielle Opfer. Dann behaupten sie fälschlicherweise, ausgewählte Entwickler seien berechtigt, 5.000 $ in CLAW-Token zu erhalten.
Die Nachrichten führen die Empfänger-Entwickler dann zu einer gefälschten Website, die exakt wie openclaw[.]ai aussieht. Die Phishing-Website sendet eine Krypto-Wallet-Verbindungsanfrage, die bei Annahme durch das Opfer schädliche Aktionen auslöst. Das Verknüpfen einer Wallet mit der Site kann zu sofortigem Diebstahl von Krypto-Guthaben führen, warnen Forscher von OX Security.
Weitere Analysen des Angriffs zeigen, dass die Phishing-Einrichtung eine Redirect-Kette zu token-claw[.]xyz und einem Command-Server unter watery-compost[.]today verwendet. Eine JavaScript-Datei mit bösartigem Code stiehlt dann Krypto-Wallet-Adressen und Transaktionen und sendet sie an den Hacker.
OX Security fand eine Wallet-Adresse, die mit dem Bedrohungsschauspieler verknüpft ist und möglicherweise gestohlene Krypto-Assets enthält. Der bösartige Code verfügt über Funktionen zur Überwachung von Benutzeraktionen und zum Entfernen von Daten aus dem lokalen Speicher. Dies erschwert die Erkennung und Analyse der Malware.
Die Angreifer konzentrieren sich wahrscheinlich auf Benutzer, die mit OpenClaw verbundenen Repositories interagiert haben, um ihre Chancen auf Krypto-Diebstahl zu erhöhen.
Beide Angriffe basieren auf Social Engineering als Einstiegspunkt in die Krypto-Wallets der Opfer. Benutzer sollten keine Krypto-Wallets mit unbekannten Sites verknüpfen und sollten misstrauisch gegenüber unerwünschten Token-Angeboten auf GitHub sein.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
