- O GhostClaw captura chaves privadas, acesso à carteira e outros dados sensíveis após a instalação.
- O malware monitora a área de transferência a cada três segundos para capturar dados criptográficos.
- O código malicioso possui recursos para monitorar as ações do usuário e remover dados do armazenamento local.
Um novo malware chamado GhostClaw está mirando carteiras de criptomoedas em máquinas macOS. O instalador falso do OpenClaw captura chaves privadas, acesso à carteira e outros dados sensíveis após a instalação.
O pacote falso foi carregado por um usuário chamado ‘openclaw-ai’ em 3 de março. Ele permaneceu no registro npm por uma semana e infectou 178 desenvolvedores antes de ser removido em 10 de março.
@openclaw-ai/openclawai se passou por uma ferramenta CLI legítima do OpenClaw, mas executou um ataque em múltiplas etapas.
O malware coletou dados sensíveis dos desenvolvedores. Ele extraiu carteiras de criptomoedas, senhas do macOS Keychain, credenciais de nuvem, chaves SSH e configurações de agentes de IA. Os dados extraídos conectam hackers a plataformas de nuvem, bases de código e criptomoedas.
GhostClaw verifica a área de transferência em busca de dados de criptomoedas a cada três segundos
O malware monitora a área de transferência a cada três segundos para capturar dados de criptomoedas. Isso inclui chaves privadas, frases semente, chaves públicas e outros dados sensíveis relacionados a carteiras de criptomoedas e transações.
Depois que o desenvolvedor executa o comando ‘npm install’, um script oculto instala o pacote GhostClaw globalmente. A ferramenta executa um arquivo de configuração ofuscado nas máquinas dos desenvolvedores para evitar a detecção.
Um instalador falso do CLI OpenClaw aparece então na tela. Ele solicita que a vítima insira sua senha do macOS por meio de uma solicitação do Keychain. O malware verifica a senha usando uma ferramenta nativa do sistema. Depois disso, ele baixa um segundo payload em JavaScript de um servidor C2 remoto. O payload, chamado GhostLoader, atua como um coletor de dados e ferramenta de acesso remoto.
O roubo de dados começa após o download do segundo payload. O GhostLoader faz o trabalho pesado. Ele verifica navegadores Chromium, o Keychain do sistema operacional Macintosh (macOS) e o armazenamento do sistema em busca de dados de carteiras de criptomoedas. Ele também monitora a área de transferência quase continuamente para capturar dados sensíveis de criptomoedas.
O malware até clona sessões do navegador. Isso dá aos hackers acesso direto a carteiras de criptomoedas logadas e outros serviços relacionados. Além disso, a ferramenta maliciosa rouba tokens de API que conectam desenvolvedores a plataformas de IA como OpenAI e Anthropic.
Os dados roubados são então enviados aos autores das ameaças via Telegram, GoFile e servidores de comando. O malware também pode executar diversos comandos, implantar mais payloads e abrir novos canais de acesso remoto.
Comunidade do OpenClaw é atingida por airdrop de tokens CLAW falsos
Outra campanha maliciosa que se aproveita do hype do OpenClaw se espalhou pelo GitHub. O malware, descoberto por pesquisadores de segurança cibernética da OX Security, visa contatar desenvolvedores diretamente e roubar dados de criptomoedas.
Atacantes criam tópicos de problemas em repositórios do GitHub e marcam vítimas em potencial. Em seguida, afirmam falsamente que os desenvolvedores escolhidos são elegíveis para receber US$ 5.000 em tokens CLAW.
As mensagens então levam os desenvolvedores destinatários a um site falso que se parece exatamente com openclaw[.]ai. O site de phishing envia uma solicitação de conexão de carteira de criptomoedas que inicia ações prejudiciais quando aceita pela vítima. Conectar uma carteira ao site pode levar ao roubo instantâneo de fundos de criptomoedas, alertam pesquisadores da OX Security.
Análises adicionais do ataque revelam que a configuração de phishing usa uma cadeia de redirecionamento para token-claw[.]xyz e um servidor de comando em watery-compost[.]today. Um arquivo JavaScript com código malicioso então rouba endereços de carteiras de criptomoedas e transações e os envia ao hacker.
A OX Security encontrou um endereço de carteira vinculado ao autor da ameaça que pode conter criptomoedas roubadas. O código malicioso possui recursos para monitorar as ações do usuário e remover dados do armazenamento local. Isso torna a detecção e análise do malware mais difíceis.
Os atacantes provavelmente focam em usuários que interagiram com repositórios relacionados ao OpenClaw para aumentar suas chances de roubo de criptomoedas.
Ambos os ataques dependem de engenharia social como ponto de entrada para as carteiras de criptomoedas das vítimas. Os usuários não devem conectar carteiras de criptomoedas a sites desconhecidos e devem desconfiar de ofertas de tokens não solicitadas no GitHub.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Randa Moses
Randa Moses é editora e repórter na Cryptopolitan, cobrindo tecnologia, IA, robótica, criptomoedas, golpes e hacks. Ela atua no espaço de criptomoedas desde 2017. Já ocupou cargos na Forward Protocol, AmaZix e Cryptosomniac. Randa possui graduação em Engenharia Elétrica e Eletrônica pela Universidade de Bradford.
