Openclaw-identitetsstöldattack stjäl lösenord och kryptovalutaplånboksdata

Säkerhetsforskare avslöjar skadligt Openclaw npm-paket

Säkerhetsforskare säger att paketet är en del av en attack mot leveranskedjan som riktar sig mot utvecklare som arbetar med Openclaw och liknande AI-agentverktyg. När paketet har installerats startar det en stegvis infektion som slutligen distribuerar en trojan för fjärråtkomst som kallas Ghostloader.

Attacken identifierades av JFrog Security Research och avslöjades mellan den 8 och 9 mars 2026. Enligt företagets rapport dök paketet upp i npm-registret i början av mars och hade laddats ner ungefär 178 gånger fram till den 9 mars. Trots avslöjandet var paketet fortfarande tillgängligt på npm vid tidpunkten för rapporteringen.

Vid första anblicken ser programvaran ofarlig ut. Paketet använder ett namn som liknar det officiella Openclaw-verktyget och innehåller vanliga Javascript-filer och dokumentation. Forskare säger att de synliga komponenterna verkar ofarliga, medan det skadliga beteendet utlöses under installationsprocessen.

När någon installerar paketet aktiveras dolda skript automatiskt. Dessa skript skapar en illusion av ett legitimt kommandoradsinstallationsprogram och visar förloppsindikatorer och systemmeddelanden som är utformade för att efterlikna en riktig programvaruinstallationsrutin.

Under installationssekvensen visar programmet en falsk systemauktoriseringsprompt som begär användarens datorlösenord. Prompten hävdar att begäran är nödvändig för att säkert konfigurera autentiseringsuppgifter för Openclaw. Om lösenordet anges får skadlig programvara utökad åtkomst till känsliga systemdata.

I bakgrunden hämtar installationsprogrammet en krypterad nyttolast från en fjärrstyrd kommando- och kontrollserver som kontrolleras av angriparna. När nyttolasten har dekrypterats och körts installeras trojanen Ghostloader för fjärråtkomst.

Forskare säger att Ghostloader etablerar sig på systemet samtidigt som den maskerar sig som en rutinmässig mjukvarutjänst. Malware kontaktar sedan regelbundet sin kommando- och kontrollinfrastruktur för att ta emot instruktioner från angriparen.

Trojanen är utformad för att samla in en rad känslig information. Enligt JFrogs analys riktar den in sig på lösenordsdatabaser, webbläsarkakor, sparade autentiseringsuppgifter och systemautentiseringslagrar som kan innehålla åtkomst till molnplattformar, utvecklarkonton och e-posttjänster.

Användare av kryptovalutor kan utsättas för ytterligare risker. Malwaren söker efter filer som är kopplade till kryptovalutaplånböcker på datorn och webbläsartillägg för plånböcker och skannar lokala mappar efter seed-fraser eller annan information för återställning av plånböcker.

Verktyget övervakar också aktiviteten i urklipp och kan samla in SSH-nycklar och utvecklingsinloggningsuppgifter som ofta används av ingenjörer för att få åtkomst till fjärrinfrastruktur. Säkerhetsexperter säger att denna kombination gör utvecklarsystem särskilt attraktiva mål eftersom de ofta innehåller inloggningsuppgifter till produktionsmiljöer.

Förutom datastöld har Ghostloader även fjärråtkomstfunktioner som gör det möjligt för angripare att utföra kommandon, hämta filer eller dirigera nätverkstrafik genom det komprometterade systemet. Forskare säger att dessa funktioner effektivt förvandlar infekterade maskiner till fotfästen i utvecklingsmiljöer.

Den skadliga programvaran installerar också mekanismer för att bibehålla sin närvaro så att den startar om automatiskt efter omstart av systemet. Dessa mekanismer involverar vanligtvis dolda kataloger och modifieringar av systemets startkonfigurationer.

JFrog-forskare identifierade flera indikatorer kopplade till kampanjen, inklusive misstänkta systemfiler kopplade till en "npm telemetry"-tjänst och anslutningar till infrastruktur som kontrolleras av angriparna.

Cybersäkerhetsanalytiker säger att incidenten speglar en växande trend av attacker mot utvecklingsmiljöer i leveranskedjan. I takt med att AI-ramverk och automatiseringsverktyg blir allt populärare, döljer angriparna i allt högre grad skadlig programvara som användbara utvecklingsverktyg.

Utvecklare som har installerat paketet rekommenderas att omedelbart ta bort det, granska systemets startkonfigurationer, ta bort misstänkta telemetrikataloger och byta lösenord och inloggningsuppgifter som lagras på den drabbade maskinen.

Säkerhetsexperter rekommenderar också att man endast installerar utvecklingsverktyg från verifierade källor, granskar npm-paket noggrant innan global installation och använder verktyg för skanning av leverantörskedjan för att upptäcka misstänkta beroenden.

Openclaw-projektet i sig har inte komprometterats, och forskarna betonar att attacken bygger på att man utger sig för att vara ramverket genom ett vilseledande paketnamn snarare än att utnyttja den officiella programvaran.

Vanliga frågor 🔎

• Vad är det skadliga Openclaw npm-paketet?
  Paketet imiterar ett OpenClaw-installationsprogram och installerar i hemlighet GhostLoader-skadlig kod.
• Vad stjäl Ghostloader-skadlig programvara?
  Den samlar in lösenord, webbläsaruppgifter, kryptovalutaplånboksdata, SSH-nycklar och molntjänstuppgifter.
• Vem löper störst risk att drabbas av denna npm-malwareattack?
  Alla som har installerat paketet, särskilt de som använder AI-ramverk eller kryptovalutaplånboksverktyg, kan ha exponerat sina inloggningsuppgifter.
• Vad ska man göra om man har installerat paketet?
  Ta bort det omedelbart, kontrollera systemets startfiler, ta bort misstänkta kataloger och byt ut alla känsliga inloggningsuppgifter.