GhostClaw는 개발자의 암호화폐 지갑 데이터를 탈취합니다

GhostClaw라는 새로운 멀웨어가 macOS 기기의 암호화폐 지갑을 표적으로 삼고 있습니다. 가짜 OpenClaw 설치 프로그램은 설치 후 개인 키, 지갑 접근 권한 및 기타 민감한 데이터를 캡처합니다.

가짜 패키지는 3월 3일 ‘openclaw-ai’라는 이름의 사용자가 업로드했습니다. 이 패키지는 npm 레지스트리에 1주일간 머물렀으며, 3월 10일 제거되기 전까지 178명의 개발자에게 감염되었습니다.

@openclaw-ai/openclawai는 정당한 OpenClaw CLI 도구인 것처럼 가장했지만, 실제로는 다단계 공격을 실행했습니다.

이 멀웨어는 개발자로부터 민감한 데이터를 수집했습니다. 암호화폐 지갑, macOS 키체인 비밀번호, 클라우드 자격 증명, SSH 키 및 AI 에이전트 구성을 추출했습니다. 추출된 데이터는 해커가 클라우드 플랫폼, 코드베이스 및 암호화폐에 연결할 수 있게 해줍니다.

GhostClaw는 3초마다 클립보드에서 암호화폐 데이터를 스캔합니다

이 멀웨어는 3초마다 클립보드를 모니터링하여 암호화폐 데이터를 캡처합니다. 여기에는 개인 키, 시드 구문, 공개 키 및 암호화폐 지갑 및 거래와 관련된 기타 민감한 데이터가 포함됩니다.

개발자가 ‘npm install’ 명령을 실행하면 숨겨진 스크립트가 GhostClaw 패키지를 전역에 설치한다. 이 도구는 탐지를 피하기 위해 개발자의 머신에서 난독화된 설치 파일을 실행한다.

그런 다음 가짜 OpenClaw CLI 설치 프로그램이 화면에 나타납니다. 이는 키체인 요청을 통해 피해자에게 macOS 비밀번호를 입력하도록 유도합니다. 멀웨어는 네이티브 시스템 도구를 사용하여 비밀번호를 검증한 후, 원격 C2 서버에서 두 번째 JavaScript 페이로드를 다운로드합니다. GhostLoader라는 이 페이로드는 데이터 탈취 도구이자 원격 접근 도구로 작동합니다.

두 번째 페이로드 다운로드 후 데이터 탈취가 시작됩니다. GhostLoader가 주요 작업을 수행합니다. 이 멀웨어는 Chromium 브라우저, Macintosh 운영 체제(macOS) 키체인 및 시스템 저장소에서 암호화폐 지갑 데이터를 스캔합니다. 또한 민감한 암호화폐 데이터를 캡처하기 위해 클립보드를 거의 지속적으로 모니터링합니다.

이 멀웨어는 브라우저 세션까지 복제합니다. 이를 통해 해커는 로그인된 암호화폐 지갑 및 기타 관련 서비스에 직접 접근할 수 있습니다. 또한, 이 악성 도구는 OpenAI 및 Anthropic과 같은 AI 플랫폼에 개발자를 연결하는 API 토큰을 탈취합니다.

탈취된 데이터는 Telegram, GoFile 및 명령 서버를 통해 위협 행위자에게 전송됩니다. 이 멀웨어는 수많은 명령을 실행하고, 추가 페이로드를 배포하며, 새로운 원격 접근 채널을 열 수도 있습니다.

OpenClaw 커뮤니티가 가짜 CLAW 토큰 에어드롭으로 타격을 받음

OpenClaw의 인기를 이용한 또 다른 악성 캠페인이 GitHub에서 확산되었습니다. OX Security의 사이버 보안 연구원들이 발견한 이 멀웨어는 개발자에게 직접 접근하여 암호화폐 데이터를 탈취하는 것을 목표로 합니다.

공격자들은 GitHub 저장소에 이슈 스레드를 생성하고 잠재적 피해자를 태그합니다. 그런 다음 선택된 개발자가 CLAW 토큰 $5,000를 받을 자격이 있다고 거짓으로 주장합니다.

그런 다음 메시지는 recipients를 openclaw[.]ai와 정확히 동일한 가짜 웹사이트로 유도합니다. 피싱 웹사이트는 피해자가 수락하면 해로운 작업을 시작하는 암호화폐 지갑 연결 요청을 보냅니다. 지갑을 사이트에 연결하면 암호화폐 자금이 즉시 탈취될 수 있다고 OX Security 연구원들은 경고합니다.

공격에 대한 추가 분석 결과, 피싱 설정이 토큰-claw[.]xyz 및 watery-compost[.]today의 명령 서버로 리디렉션 체인을 사용한다는 것이 밝혀졌습니다. 악성 코드가 포함된 JavaScript 파일이 암호화폐 지갑 주소 및 거래를 탈취하여 해커에게 전송합니다.

OX Security는 위협 행위자와 연결된 암호화폐 주소를 발견했으며, 이 주소에는 탈취된 암호화폐가 포함되어 있을 수 있습니다. 이 악성 코드에는 사용자 동작을 모니터링하고 로컬 저장소에서 데이터를 제거하는 기능이 있습니다. 이로 인해 멀웨어 감지 및 분석이 더 어려워집니다.

공격자들은 암호화폐 절도 가능성을 높이기 위해 OpenClaw 관련 저장소와 상호작용한 사용자를 주로 표적으로 삼았을 가능성이 높습니다.

두 공격 모두 사회공학을 피해자의 암호화폐 지갑으로의 진입점으로 사용합니다. 사용자는 알려지지 않은 사이트에 암호화폐 지갑을 연결해서는 안 되며, GitHub에서의 자발적이지 않은 토큰 제안에 주의해야 합니다.