- GhostClaw captura claves privadas, acceso a billeteras y otros datos sensibles tras su instalación.
- El malware supervisa el portapapeles cada tres segundos para capturar datos de criptomonedas.
- El código malicioso incluye funciones para monitorear las acciones del usuario y eliminar datos del almacenamiento local.
Un nuevo malware llamado GhostClaw está apuntando a billeteras de criptomonedas en máquinas macOS. El instalador falso de OpenClaw captura claves privadas, acceso a la billetera y otros datos sensibles después de la instalación.
El paquete falso fue subido por un usuario llamado ‘openclaw-ai’ el 3 de marzo. Permaneció en el registro npm durante una semana e infectó a 178 desarrolladores antes de ser eliminado el 10 de marzo.
@openclaw-ai/openclawai se hacía pasar por una herramienta CLI legítima de OpenClaw, pero en su lugar ejecutaba un ataque de múltiples etapas.
El malware recopilaba datos sensibles de los desarrolladores. Extraía billeteras de criptomonedas, contraseñas de la Llavera de macOS, credenciales en la nube, claves SSH y configuraciones de agentes de IA. Los datos extraídos conectan a los hackers con plataformas en la nube, repositorios de código y criptomonedas.
GhostClaw escanea el portapapeles en busca de datos de criptomonedas cada tres segundos
El malware monitorea el portapapeles cada tres segundos para capturar datos de criptomonedas. Esto incluye claves privadas, frases semilla, claves públicas y otros datos sensibles relacionados con billeteras de criptomonedas y transacciones.
Una vez que el desarrollador ejecuta el comando ‘npm install’, un script oculto instala el paquete GhostClaw globalmente. La herramienta ejecuta un archivo de configuración ofuscado en las máquinas de los desarrolladores para evitar la detección.
Aparece entonces un instalador falso de la CLI de OpenClaw en la pantalla. Solicita a la víctima que ingrese su contraseña de macOS a través de una solicitud de la Llavera. El malware verifica la contraseña utilizando una herramienta nativa del sistema. Después de eso, descarga una segunda carga útil de JavaScript desde un servidor C2 remoto. La carga útil, llamada GhostLoader, actúa como un ladrón de datos y una herramienta de acceso remoto.
El robo de datos comienza después de la descarga de la segunda carga útil. GhostLoader hace el trabajo pesado. Escanea los navegadores Chromium, la Llavera del sistema operativo Macintosh (macOS) y el almacenamiento del sistema en busca de datos de billeteras de criptomonedas. También monitorea el portapapeles casi continuamente para capturar datos criptográficos sensibles.
El malware incluso clona sesiones del navegador. Esto da a los hackers acceso directo a billeteras de criptomonedas conectadas y otros servicios relacionados. Además, la herramienta maliciosa roba tokens de API que conectan a los desarrolladores con plataformas de IA como OpenAI y Anthropic.
Los datos robados se envían luego a los actores de la amenaza a través de Telegram, GoFile y servidores de comandos. El malware también puede ejecutar numerosos comandos, desplegar más cargas útiles y abrir nuevos canales de acceso remoto.
La comunidad de OpenClaw recibe un airdrop de tokens CLAW falsos
Otra campaña maliciosa que se basa en el hype de OpenClaw se extendió en GitHub. El malware, que fue descubierto por investigadores de ciberseguridad de OX Security, tiene como objetivo contactar a los desarrolladores directamente y robar datos de criptomonedas.
Los atacantes crean hilos de problemas en repositorios de GitHub y etiquetan a las víctimas potenciales. Luego afirman falsamente que los desarrolladores elegidos son elegibles para recibir 5.000 dólares en tokens CLAW.
Los mensajes luego llevan a los desarrolladores receptores a un sitio web falso que se ve exactamente como openclaw[.]ai. El sitio web de phishing envía una solicitud de conexión de billetera de criptomonedas que inicia acciones dañinas cuando es aceptada por la víctima. Vincular una billetera al sitio puede llevar al robo instantáneo de fondos de criptomonedas, advierten los investigadores de OX Security.
Un análisis adicional del ataque revela que la configuración de phishing utiliza una cadena de redirección hacia token-claw[.]xyz y un servidor de comandos en watery-compost[.]today. Un archivo JavaScript con código malicioso luego roba direcciones de billeteras de criptomonedas y transacciones y los envía al hacker.
OX Security encontró una dirección de billetera vinculada al actor de la amenaza que podría contener criptomonedas robadas. El código malicioso tiene características para monitorear las acciones del usuario y eliminar datos del almacenamiento local. Esto hace que la detección y el análisis del malware sean más difíciles.
Los atacantes probablemente se centran en usuarios que han interactuado con repositorios relacionados con OpenClaw para aumentar sus posibilidades de robo de criptomonedas.
Ambos ataques dependen de la ingeniería social como punto de entrada a las billeteras de criptomonedas de las víctimas. Los usuarios no deben vincular billeteras de criptomonedas a sitios desconocidos y deben desconfiar de las ofertas de tokens no solicitadas en GitHub.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Randa Moses
Randa Moses es editora y reportera en Cryptopolitan, donde cubre tecnología, IA, robótica, criptomonedas, estafas y ciberataques. Ha trabajado en el espacio de las criptomonedas desde 2017. Ocupó cargos en Forward Protocol, AmaZix y Cryptosomniac. Randa posee un grado en Ingeniería Eléctrica y Electrónica de la Universidad de Bradford.
