GhostClaw vole les données de portefeuilles crypto aux développeurs

Un nouveau malware nommé GhostClaw cible les portefeuilles de cryptomonnaies sur les machines macOS. Le faux installateur OpenClaw capture les clés privées, l'accès au portefeuille et d'autres données sensibles après l'installation.

Le package falsifié a été téléchargé par un utilisateur nommé « openclaw-ai » le 3 mars. Il est resté sur le registre npm pendant une semaine et a infecté 178 développeurs avant d'être supprimé le 10 mars.

@openclaw-ai/openclawai se faisait passer pour un outil CLI OpenClaw légitime mais exécutait plutôt une attaque en plusieurs étapes.

Le malware a collecté des données sensibles auprès des développeurs. Il a extrait les portefeuilles de cryptomonnaies, les mots de passe du trousseau macOS (Keychain), les identifiants cloud, les clés SSH et les configurations d'agents IA. Les données extraites permettent aux pirates d'accéder aux plateformes cloud, aux bases de code et aux cryptomonnaies.

GhostClaw scanne le presse-papiers pour des données cryptographiques toutes les trois secondes

Le malware surveille le presse-papiers toutes les trois secondes pour capturer des données cryptographiques. Cela inclut les clés privées, les phrases de récupération (seed phrases), les clés publiques et d'autres données sensibles liées aux portefeuilles de cryptomonnaies et aux transactions.

Une fois que le développeur exécute la commande « npm install », un script caché installe le package GhostClaw globalement. L'outil exécute un fichier de configuration obscurci sur les machines des développeurs pour éviter la détection.

Un faux installateur CLI OpenClaw apparaît ensuite à l'écran. Il invite la victime à saisir son mot de passe macOS via une demande du trousseau (Keychain). Le malware vérifie le mot de passe à l'aide d'un outil système natif. Ensuite, il télécharge une seconde charge utile JavaScript depuis un serveur C2 distant. La charge utile, appelée GhostLoader, agit comme un voleur de données et un outil d'accès à distance.

Le vol de données commence après le téléchargement de la seconde charge utile. GhostLoader effectue le travail principal. Il scanne les navigateurs Chromium, le trousseau (Keychain) du système d'exploitation Macintosh (macOS) et le stockage système pour les données des portefeuilles de cryptomonnaies. Il surveille également le presse-papiers de manière quasi continue pour capturer des données cryptographiques sensibles.

Le malware clone même les sessions de navigateur. Cela donne aux pirates un accès direct aux portefeuilles de cryptomonnaies connectés et à d'autres services connexes. De plus, l'outil malveillant vole les jetons API qui connectent les développeurs à des plateformes d'IA comme OpenAI et Anthropic.

Les données volées sont ensuite envoyées aux acteurs malveillants via Telegram, GoFile et des serveurs de commande. Le malware peut également exécuter de nombreuses commandes, déployer davantage de charges utiles et ouvrir de nouveaux canaux d'accès à distance.

La communauté OpenClaw touchée par une airdrop de jetons CLAW falsifiés

Une autre campagne malveillante, qui exploite l'hype autour d'OpenClaw, s'est propagée sur GitHub. Le malware, découvert par des chercheurs en cybersécurité d'OX Security, vise à contacter directement les développeurs et à voler des données cryptographiques.

Les attaquants créent des fils de discussion dans les référentiels GitHub et taguent les victimes potentielles. Ils affirment ensuite faussement que les développeurs choisis sont éligibles pour recevoir 5 000 dollars en jetons CLAW.

Les messages conduisent ensuite les développeurs destinataires vers un site web falsifié qui ressemble exactement à openclaw[.]ai. Le site de phishing envoie une demande de connexion de portefeuille de cryptomonnaies qui déclenche des actions nuisibles une fois acceptée par la victime. Lier un portefeuille au site peut entraîner un vol instantané de fonds cryptographiques, mettent en garde les chercheurs d'OX Security.

Une analyse plus approfondie de l'attaque révèle que la configuration de phishing utilise une chaîne de redirection vers token-claw[.]xyz et un serveur de commande à watery-compost[.]today. Un fichier JavaScript contenant du code malveillant vole ensuite les adresses de portefeuilles de cryptomonnaies et les transactions, et les envoie au pirate.

OX Security a trouvé une adresse de portefeuille liée à l'acteur de la menace qui pourrait contenir des cryptomonnaies volées. Le code malveillant possède des fonctionnalités pour surveiller les actions de l'utilisateur et supprimer les données du stockage local. Cela rend la détection et l'analyse du malware plus difficiles.

Les attaquants se concentrent probablement sur les utilisateurs qui ont interagi avec des référentiels liés à OpenClaw pour augmenter leurs chances de voler des cryptomonnaies.

Les deux attaques reposent sur l'ingénierie sociale comme point d'entrée vers les portefeuilles de cryptomonnaies des victimes. Les utilisateurs ne doivent pas lier leurs portefeuilles de cryptomonnaies à des sites inconnus et doivent se méfier des offres de jetons non sollicitées sur GitHub.