Openclaw-Identitätsbetrug stiehlt Passwörter und Daten aus Krypto-Wallets

Sicherheitsforscher decken bösartiges Openclaw-npm-Paket auf

Sicherheitsforscher sagen, dass das Paket Teil eines Supply-Chain-Angriffs ist, der sich gegen Entwickler richtet, die mit Openclaw und ähnlichen KI-Agent-Tools arbeiten. Nach der Installation startet das Paket eine mehrstufige Infektion, die letztendlich einen Remote-Access-Trojaner namens Ghostloader installiert.

Der Angriff wurde von JFrog Security Research identifiziert und zwischen dem 8. und 9. März 2026 bekannt gegeben. Laut dem Bericht des Unternehmens erschien das Paket Anfang März in der npm-Registrierung und wurde bis zum 9. März etwa 178 Mal heruntergeladen. Trotz der Bekanntgabe war das Paket zum Zeitpunkt der Meldung weiterhin auf npm verfügbar.

Auf den ersten Blick sieht die Software harmlos aus. Das Paket verwendet einen Namen, der dem offiziellen Openclaw-Tooling ähnelt, und enthält normal aussehende Javascript-Dateien und Dokumentationen. Forscher sagen, dass die sichtbaren Komponenten harmlos erscheinen, während das bösartige Verhalten während des Installationsprozesses ausgelöst wird.

Wenn jemand das Paket installiert, werden versteckte Skripte automatisch aktiviert. Diese Skripte erwecken den Anschein eines legitimen Befehlszeilen-Installationsprogramms und zeigen Fortschrittsanzeigen und Systemmeldungen an, die eine echte Software-Installationsroutine imitieren sollen. Während der Installation zeigt das Programm eine gefälschte Systemautorisierungsaufforderung an, in der das Computerpasswort des Benutzers abgefragt wird. In der Aufforderung wird behauptet, dass die Abfrage notwendig sei, um die Anmeldedaten für Openclaw sicher zu konfigurieren. Wenn das Passwort eingegeben wird, erhält die Malware erweiterten Zugriff auf sensible Systemdaten.

Hinter den Kulissen ruft das Installationsprogramm eine verschlüsselte Nutzlast von einem Remote-Befehls- und Kontrollserver ab, der von den Angreifern kontrolliert wird. Nach der Entschlüsselung und Ausführung installiert diese Nutzlast den Fernzugriffstrojaner Ghostloader.

Forschern zufolge etabliert sich Ghostloader dauerhaft auf dem System, während es sich als routinemäßiger Softwaredienst tarnt. Die Malware kontaktiert dann regelmäßig ihre Befehls- und Kontrollinfrastruktur, um Anweisungen vom Angreifer zu erhalten. Der Trojaner ist darauf ausgelegt, eine Vielzahl sensibler Informationen zu sammeln. Laut der Analyse von JFrog zielt er auf Passwortdatenbanken, Browser-Cookies, gespeicherte Anmeldedaten und Systemauthentifizierungsspeicher ab, die möglicherweise Zugriff auf Cloud-Plattformen, Entwicklerkonten und E-Mail-Dienste enthalten.

Nutzer von Kryptowährungen sind möglicherweise einem zusätzlichen Risiko ausgesetzt. Die Malware sucht nach Dateien, die mit Desktop-Krypto-Wallets und Browser-Wallet-Erweiterungen in Verbindung stehen, und durchsucht lokale Ordner nach Seed-Phrasen oder anderen Informationen zur Wiederherstellung von Wallets. Das Tool überwacht auch die Aktivitäten der Zwischenablage und kann SSH-Schlüssel und Entwicklungszugangsdaten sammeln, die häufig von Ingenieuren für den Zugriff auf Remote-Infrastrukturen verwendet werden. Sicherheitsexperten sagen, dass diese Kombination Entwicklersysteme zu besonders attraktiven Zielen macht, da sie oft Zugangsdaten zu Produktionsumgebungen enthalten.

Zusätzlich zum Datendiebstahl verfügt Ghostloader über Fernzugriffsfunktionen, mit denen Angreifer Befehle ausführen, Dateien abrufen oder Netzwerkverkehr über das kompromittierte System leiten können. Forscher sagen, dass diese Funktionen infizierte Maschinen effektiv zu Stützpunkten innerhalb von Entwicklerumgebungen machen.

Die Schadsoftware installiert außerdem Persistenzmechanismen, sodass sie nach einem Neustart des Systems automatisch wieder gestartet wird. Diese Mechanismen umfassen in der Regel versteckte Verzeichnisse und Änderungen an den Startkonfigurationen des Systems. Die Forscher von JFrog identifizierten mehrere Indikatoren im Zusammenhang mit der Kampagne, darunter verdächtige Systemdateien, die mit einem „npm-Telemetrie”-Dienst in Verbindung stehen, sowie Verbindungen zu einer von den Angreifern kontrollierten Infrastruktur.

Cybersicherheitsanalysten sagen, dass dieser Vorfall einen wachsenden Trend zu Supply-Chain-Angriffen auf Entwickler-Ökosysteme widerspiegelt. Da KI-Frameworks und Automatisierungstools immer beliebter werden, tarnen Angreifer Malware zunehmend als hilfreiche Entwickler-Dienstprogramme. Entwicklern, die das Paket installiert haben, wird empfohlen, es sofort zu entfernen, die Systemstartkonfigurationen zu überprüfen, verdächtige Telemetrie-Verzeichnisse zu löschen und die auf dem betroffenen Rechner gespeicherten Passwörter und Anmeldedaten zu ändern.

Sicherheitsexperten empfehlen außerdem, Entwicklertools nur aus verifizierten Quellen zu installieren, npm-Pakete vor der globalen Installation sorgfältig zu überprüfen und Supply-Chain-Scanning-Tools zu verwenden, um verdächtige Abhängigkeiten zu erkennen. Das Openclaw-Projekt selbst wurde nicht kompromittiert, und die Forscher betonen, dass der Angriff darauf beruht, das Framework durch einen irreführenden Paketnamen zu imitieren, anstatt die offizielle Software auszunutzen.

FAQ 🔎

• Was ist das bösartige Openclaw-npm-Paket? Das Paket gibt sich als OpenClaw-Installationsprogramm aus und installiert heimlich die Malware GhostLoader.
• Was stiehlt die Ghostloader-Malware? Sie sammelt Passwörter, Browser-Anmeldedaten, Krypto-Wallet-Daten, SSH-Schlüssel und Cloud-Service-Anmeldedaten.
• Wer ist am stärksten von diesem npm-Malware-Angriff bedroht? Jeder, der das Paket installiert hat, insbesondere diejenigen, die KI-Frameworks oder Krypto-Wallet-Tools verwenden, hat möglicherweise Zugangsdaten preisgegeben.
• Was sollten Nutzer tun, wenn sie das Paket installiert haben? Entfernen Sie es sofort, überprüfen Sie die Systemstartdateien, löschen Sie verdächtige Verzeichnisse und ändern Sie alle sensiblen Anmeldedaten.