- GhostClawは、インストール後に秘密鍵、ウォレットへのアクセス権限、およびその他の機密データを窃取します。
- このマルウェアはクリップボードを3秒ごとに監視し、暗号資産関連のデータを捕捉します。
- 悪意のあるコードには、ユーザーの行動を監視し、ローカルストレージからデータを削除する機能が含まれています。
GhostClawという名前の新しいマルウェアが、macOSマシン上の暗号通貨ウォレットを標的にしています。偽のOpenClawインストーラーは、インストール後に秘密鍵、ウォレットへのアクセス、およびその他の機密データを捕捉します。
偽のパッケージは、3月3日に「openclaw-ai」という名前のユーザーによってアップロードされました。npmレジストリに1週間留まり、3月10日に削除されるまでに178人の開発者に感染しました。
@openclaw-ai/openclawai は正当なOpenClaw CLIツールを装っていましたが、実際には多段階の攻撃を実行しました。
マルウェアは開発者から機密データを収集しました。暗号通貨ウォレット、macOS Keychainのパスワード、クラウド認証情報、SSHキー、AIエージェントの設定を抽出しました。抽出されたデータは、ハッカーがクラウドプラットフォーム、コードベース、および暗号通貨に接続することを可能にします。
GhostClawは、クリップボード内の暗号データを3秒ごとにスキャンします
マルウェアはクリップボードを3秒ごとに監視し、暗号データを捕捉します。これには、秘密鍵、シードフレーズ、公開鍵、および暗号通貨ウォレットや取引に関連するその他の機密データが含まれます。
開発者が「npm install」コマンドを実行すると、隠しスクリプトによって GhostClaw パッケージがグローバルにインストールされます。このツールは、検出を避けるために開発者のマシン上で難読化されたセットアップファイルを実行します。
次に、偽のOpenClaw CLIインストーラーが画面に表示されます。これは、Keychainリクエストを通じて被害者にmacOSパスワードの入力を促します。マルウェアはネイティブシステムツールを使用してパスワードを検証します。その後、リモートC2サーバーから2番目のJavaScriptペイロードをダウンロードします。このペイロード「GhostLoader」は、データ窃盗ツールおよびリモートアクセスツールとして機能します。
2番目のペイロードのダウンロード後、データ窃盗が始まります。GhostLoaderが主要な作業を行います。Chromiumブラウザ、Macintoshオペレーティングシステム（macOS）Keychain、およびシステムストレージ内の暗号通貨ウォレットデータをスキャンします。また、クリップボードをほぼ絶えず監視して、機密性の高い暗号データを捕捉します。
マルウェアはブラウザセッションまでクローン化します。これにより、ハッカーはログイン済みの暗号通貨ウォレットやその他の関連サービスに直接アクセスできます。さらに、この悪意あるツールは、開発者を OpenAI や Anthropic などのAIプラットフォームに接続するAPIトークンを盗みます。
盗まれたデータは、Telegram、GoFile、およびコマンドサーバー経由で脅威行為者に送信されます。マルウェアは多数のコマンドを実行し、さらにペイロードを展開し、新しいリモートアクセスチャネルを開くこともできます。
OpenClawコミュニティ、偽のCLAWトークンエアドロップ被害
GitHub上で広まるOpenClawの hype に乗じた別の悪意あるキャンペーン。 マルウェア は、OX Securityのサイバーセキュリティ研究者によって発見され、開発者に直接接触して暗号データを盗むことを目的としています。
攻撃者はGitHubリポジトリにイシュースレッドを作成し、潜在的な被害者をタグ付けします。そして、選ばれた開発者がCLAWトークン5,000ドルを受け取る資格があると誤って主張します。
その後、メッセージは受信者を開発者を、openclaw[.]aiと全く同じ外観の偽のウェブサイトへ誘導します。フィッシングウェブサイトは、被害者が承諾すると有害なアクションを開始する暗号通貨ウォレット接続リクエストを送信します。ウォレットをサイトにリンクすると、暗号通貨資金が即座に盗まれる可能性があるため、OX Securityの研究者は警告しています。
攻撃のさらなる分析により、フィッシングセットアップがトークン-claw[.]xyzへのリダイレクトチェーンと、watery-compost[.]todayにあるコマンドサーバーを使用していることが明らかになりました。悪意のあるコードを含むJavaScriptファイルが、暗号通貨ウォレットアドレスと取引を盗み、ハッカーに送信します。
OX Securityは、脅威行為者と関連付けられたウォレットアドレスを発見しました。このアドレスには盗まれた暗号通貨が含まれている可能性があります。悪意のあるコードには、ユーザーのアクションを監視し、ローカルストレージからデータを削除する機能があります。これにより、マルウェアの検出と分析が困難になります。
攻撃者は、暗号通貨窃盗の成功率を高めるため、OpenClaw に関連するリポジトリと相互作用したユーザーに焦点を当てている可能性があります。
両方の攻撃は、被害者の暗号通貨ウォレットへの侵入口としてソーシャルエンジニアリングに依存しています。ユーザーは、未知のサイトに暗号通貨ウォレットをリンクせず、GitHubでの無要請のトークン提供に警戒すべきです。
これをお読みいただいているあなたは、すでに一歩先を行っています。当社のニュースレターでその先を行ってください。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
ランダ・モーゼス
ランダ・モーゼスはCryptopolitanのエディター兼記者で、テクノロジー、AI、ロボティクス、暗号資産、詐欺、ハッキングなどを担当しています。2017年以来暗号資産分野で活動しており、Forward Protocol、AmaZix、Cryptosomniacで役職を務めました。ブラッドフォード大学で電気電子工学の学位を取得しています。
