Openclaw-imitatieaanval steelt wachtwoorden en gegevens van cryptovaluta-wallets

Beveiligingsonderzoekers ontmaskeren kwaadaardig Openclaw npm-pakket

Beveiligingsonderzoekers zeggen dat het pakket deel uitmaakt van een supply chain-aanval gericht op ontwikkelaars die werken met Openclaw en soortgelijke AI-agent-tools. Eenmaal geïnstalleerd, start het pakket een gefaseerde infectie die uiteindelijk een trojan voor externe toegang implementeert, bekend als Ghostloader.

De aanval werd geïdentificeerd door JFrog Security Research en bekendgemaakt tussen 8 en 9 maart 2026. Volgens het rapport van het bedrijf verscheen het pakket begin maart in het npm-register en was het op 9 maart ongeveer 178 keer gedownload. Ondanks de bekendmaking bleef het pakket op het moment van rapportage beschikbaar op npm.

Op het eerste gezicht lijkt de software onschadelijk. Het pakket gebruikt een naam die lijkt op officiële Openclaw-tools en bevat normaal ogende Javascript-bestanden en documentatie. Onderzoekers zeggen dat de zichtbare componenten onschuldig lijken, terwijl het kwaadaardige gedrag wordt geactiveerd tijdens het installatieproces.

Wanneer iemand het pakket installeert, worden verborgen scripts automatisch geactiveerd. Deze scripts wekken de illusie van een legitieme command-line installer en geven voortgangsindicatoren en systeemberichten weer die zijn ontworpen om een echte software-installatieroutine na te bootsen.

Tijdens de installatieprocedure toont het programma een valse systeemautorisatieprompt waarin de gebruiker om zijn computerwachtwoord wordt gevraagd. De prompt beweert dat het verzoek nodig is om de inloggegevens voor Openclaw veilig te configureren. Als het wachtwoord wordt ingevoerd, krijgt de malware verhoogde toegang tot gevoelige systeemgegevens.

Achter de schermen haalt het installatieprogramma een versleutelde payload op van een externe command-and-control-server die door de aanvallers wordt beheerd. Na ontsleuteling en uitvoering installeert die payload de Ghostloader-trojan voor externe toegang.

Onderzoekers zeggen dat Ghostloader zich permanent op het systeem nestelt terwijl het zich voordoet als een routine software service. De malware neemt vervolgens periodiek contact op met zijn command-and-control-infrastructuur om instructies van de aanvaller te ontvangen.

De trojan is ontworpen om een breed scala aan gevoelige informatie te verzamelen. Volgens de analyse van JFrog richt het zich op wachtwoorddatabases, browsercookies, opgeslagen inloggegevens en systeemauthenticatieopslagplaatsen die toegang kunnen bevatten tot cloudplatforms, ontwikkelaarsaccounts en e-maildiensten.

Gebruikers van cryptovaluta lopen mogelijk extra risico. De malware zoekt naar bestanden die verband houden met desktop-crypto-wallets en browser-wallet-extensies en scant lokale mappen op seed-zinnen of andere informatie voor het herstellen van wallets.

De tool controleert ook de activiteiten op het klembord en kan SSH-sleutels en ontwikkelingsinloggegevens verzamelen die vaak door ingenieurs worden gebruikt om toegang te krijgen tot externe infrastructuur. Beveiligingsexperts zeggen dat deze combinatie ontwikkelaarsystemen bijzonder aantrekkelijke doelwitten maakt, omdat ze vaak inloggegevens voor productieomgevingen bevatten.

Naast gegevensdiefstal bevat Ghostloader ook mogelijkheden voor externe toegang waarmee aanvallers opdrachten kunnen uitvoeren, bestanden kunnen ophalen of netwerkverkeer via het gecompromitteerde systeem kunnen routeren. Onderzoekers zeggen dat deze functies geïnfecteerde machines in feite tot steunpunten binnen ontwikkelaarsomgevingen maken.

De kwaadaardige software installeert ook persistentiemechanismen, zodat deze automatisch opnieuw wordt gestart nadat het systeem opnieuw is opgestart. Deze mechanismen omvatten doorgaans verborgen mappen en wijzigingen in de opstartconfiguraties van het systeem.

Onderzoekers van JFrog hebben verschillende indicatoren geïdentificeerd die verband houden met de campagne, waaronder verdachte systeembestanden die gekoppeld zijn aan een "npm telemetry"-service en verbindingen met infrastructuur die door de aanvallers wordt beheerd.

Cybersecurity-analisten zeggen dat het incident een groeiende trend weerspiegelt van supply chain-aanvallen die gericht zijn op ontwikkelaars-ecosystemen. Naarmate AI-frameworks en automatiseringstools aan populariteit winnen, vermommen aanvallers malware steeds vaker als nuttige hulpprogramma's voor ontwikkelaars.

Ontwikkelaars die het pakket hebben geïnstalleerd, wordt aangeraden het onmiddellijk te verwijderen, de opstartconfiguraties van het systeem te controleren, verdachte telemetrie-mappen te verwijderen en de wachtwoorden en inloggegevens die op de getroffen machine zijn opgeslagen te wijzigen.

Beveiligingsexperts raden ook aan om alleen ontwikkelaarstools van geverifieerde bronnen te installeren, npm-pakketten zorgvuldig te controleren voordat ze wereldwijd worden geïnstalleerd en supply chain-scantools te gebruiken om verdachte afhankelijkheden op te sporen.

Het Openclaw-project zelf is niet gecompromitteerd en onderzoekers benadrukken dat de aanval gebaseerd is op het nabootsen van het framework door middel van een misleidende pakketnaam en niet op het misbruiken van de officiële software.

FAQ 🔎

• Wat is het kwaadaardige Openclaw npm-pakket?
  Het pakket doet zich voor als een OpenClaw-installatieprogramma en installeert in het geheim GhostLoader-malware.
• Wat steelt de Ghostloader-malware?
  Het verzamelt wachtwoorden, browsergegevens, crypto-walletgegevens, SSH-sleutels en clouddienstgegevens.
• Wie loopt het grootste risico door deze npm-malwareaanval?
  Iedereen die het pakket heeft geïnstalleerd, met name gebruikers van AI-frameworks of crypto-wallet-tools, loopt mogelijk het risico dat zijn inloggegevens zijn blootgesteld.
• Wat moeten mensen doen als ze het pakket hebben geïnstalleerd?
  Verwijder het onmiddellijk, controleer de opstartbestanden van het systeem, verwijder verdachte mappen en vervang alle gevoelige inloggegevens.