การโจมตีการปลอมแปลงตัวตนด้วย Openclaw ขโมยรหัสผ่านและข้อมูลกระเป๋าเงินคริปโต

นักวิจัยความปลอดภัยเปิดโปงแพ็กเกจ Openclaw npm อันตราย

นักวิจัยด้านความปลอดภัยระบุว่าแพ็กเกจนี้เป็นส่วนหนึ่งของการโจมตีซัพพลายเชนที่มุ่งเป้าไปยังนักพัฒนาที่ทำงานกับ Openclaw และเครื่องมือ เครื่องมือสำหรับเอเจนต์ AI ที่คล้ายกัน เมื่อติดตั้งแล้ว แพ็กเกจจะเริ่มการติดเชื้อแบบหลายขั้นตอนซึ่งท้ายที่สุดจะปล่อยโทรจันเข้าถึงระยะไกลที่ชื่อว่า Ghostloader

การโจมตีนี้ถูก ระบุ โดย JFrog Security Research และถูกเปิดเผยระหว่างวันที่ 8 ถึง 9 มีนาคม 2026 ตามรายงานของบริษัท แพ็กเกจดังกล่าวปรากฏบนรีจิสทรี npm ในช่วงต้นเดือนมีนาคม และถูกดาวน์โหลดประมาณ 178 ครั้ง ณ วันที่ 9 มีนาคม แม้จะมีการเปิดเผยแล้ว แพ็กเกจก็ยังคงพร้อมให้ใช้งานบน npm ในช่วงเวลาที่รายงาน

เมื่อมองเผินๆ ซอฟต์แวร์ดูไม่เป็นอันตราย แพ็กเกจใช้ชื่อที่คล้ายกับเครื่องมืออย่างเป็นทางการของ Openclaw และมีไฟล์ Javascript กับเอกสารประกอบที่ดูปกติ นักวิจัยระบุว่าส่วนที่มองเห็นได้ดูไม่เป็นพิษเป็นภัย ขณะที่พฤติกรรมอันตรายจะถูกกระตุ้นระหว่างกระบวนการติดตั้ง

เมื่อมีใครติดตั้งแพ็กเกจ สคริปต์ที่ซ่อนอยู่จะทำงานอัตโนมัติ สคริปต์เหล่านี้สร้างภาพลวงตาว่าเป็นตัวติดตั้งแบบคำสั่งบรรทัดคำสั่งที่ถูกต้อง โดยแสดงตัวบ่งชี้ความคืบหน้าและข้อความของระบบที่ออกแบบมาให้เลียนแบบขั้นตอนการติดตั้งซอฟต์แวร์จริง

ระหว่างลำดับการติดตั้ง โปรแกรมจะแสดงหน้าต่างขออนุญาตของระบบปลอมเพื่อขอรหัสผ่านคอมพิวเตอร์ของผู้ใช้ โดยอ้างว่าจำเป็นเพื่อกำหนดค่าข้อมูลรับรองสำหรับ Openclaw อย่างปลอดภัย หากกรอกรหัสผ่าน มัลแวร์จะได้สิทธิ์ยกระดับในการเข้าถึงข้อมูลระบบที่ละเอียดอ่อน

เบื้องหลัง ตัวติดตั้งจะดึงเพย์โหลดที่ถูกเข้ารหัสจากเซิร์ฟเวอร์สั่งการและควบคุม (C2) ระยะไกลที่ผู้โจมตีควบคุม เมื่อถอดรหัสและรันแล้ว เพย์โหลดนั้นจะติดตั้งโทรจันเข้าถึงระยะไกล Ghostloader

นักวิจัยกล่าวว่า Ghostloader สร้างความคงอยู่บนระบบ (persistence) พร้อมปลอมตัวเป็นบริการซอฟต์แวร์ตามปกติ จากนั้นมัลแวร์จะติดต่อโครงสร้างพื้นฐานสั่งการและควบคุมเป็นระยะเพื่อรับคำสั่งจากผู้โจมตี

โทรจันนี้ถูกออกแบบมาให้รวบรวมข้อมูลอ่อนไหวหลากหลายประเภท ตามการวิเคราะห์ของ JFrog มันมุ่งเป้าไปยังฐานข้อมูลรหัสผ่าน คุกกี้ของเบราว์เซอร์ ข้อมูลรับรองที่บันทึกไว้ และแหล่งเก็บการยืนยันตัวตนของระบบ ซึ่งอาจมีสิทธิ์เข้าถึงแพลตฟอร์มคลาวด์ บัญชีนักพัฒนา และบริการอีเมล

ผู้ใช้คริปโทเคอร์เรนซีอาจเผชิญความเสี่ยงเพิ่มเติม มัลแวร์จะค้นหาไฟล์ที่เกี่ยวข้องกับวอลเล็ตคริปโตบนเดสก์ท็อปและส่วนขยายวอลเล็ตในเบราว์เซอร์ และสแกนโฟลเดอร์ในเครื่องเพื่อหา seed phrase หรือข้อมูลกู้คืนวอลเล็ตอื่นๆ

เครื่องมือนี้ยังตรวจสอบกิจกรรมของคลิปบอร์ด และสามารถเก็บเกี่ยวคีย์ SSH และข้อมูลรับรองสำหรับการพัฒนาที่วิศวกรใช้กันทั่วไปเพื่อเข้าถึงโครงสร้างพื้นฐานระยะไกล ผู้เชี่ยวชาญด้านความปลอดภัยระบุว่าการผสมผสานนี้ทำให้ระบบของนักพัฒนาเป็นเป้าหมายที่น่าดึงดูดเป็นพิเศษ เพราะมักเก็บข้อมูลรับรองสำหรับสภาพแวดล้อมการใช้งานจริง (production)

นอกจากการขโมยข้อมูลแล้ว Ghostloader ยังมีความสามารถในการเข้าถึงระยะไกลที่ช่วยให้ผู้โจมตีรันคำสั่ง ดึงไฟล์ หรือส่งทราฟฟิกเครือข่ายผ่านระบบที่ถูกเจาะได้ นักวิจัยกล่าวว่าคุณสมบัติเหล่านี้ทำให้เครื่องที่ติดเชื้อกลายเป็นจุดยึดภายในสภาพแวดล้อมของนักพัฒนาได้อย่างมีประสิทธิภาพ

ซอฟต์แวร์อันตรายยังติดตั้งกลไกความคงอยู่เพื่อให้เริ่มทำงานอัตโนมัติหลังระบบรีบูต กลไกเหล่านี้มักเกี่ยวข้องกับไดเรกทอรีที่ซ่อนอยู่และการแก้ไขการกำหนดค่าการเริ่มต้นระบบ

นักวิจัยของ JFrog ระบุตัวบ่งชี้หลายอย่างที่เกี่ยวข้องกับแคมเปญนี้ รวมถึงไฟล์ระบบที่น่าสงสัยซึ่งเชื่อมโยงกับบริการ “npm telemetry” และการเชื่อมต่อไปยังโครงสร้างพื้นฐานที่ผู้โจมตีควบคุม

นักวิเคราะห์ด้านความปลอดภัยไซเบอร์ระบุว่าเหตุการณ์นี้สะท้อนแนวโน้มที่เพิ่มขึ้นของการโจมตีซัพพลายเชนที่มุ่งเป้าไปยังระบบนิเวศของนักพัฒนา เมื่อเฟรมเวิร์ก AI และเครื่องมืออัตโนมัติได้รับความนิยมมากขึ้น ผู้โจมตีก็ยิ่งปลอมแปลงมัลแวร์ให้ดูเป็นยูทิลิตีที่มีประโยชน์สำหรับนักพัฒนามากขึ้น

แนะนำให้นักพัฒนาที่ติดตั้งแพ็กเกจนี้ลบทิ้งทันที ตรวจสอบการกำหนดค่าการเริ่มต้นระบบ ลบไดเรกทอรี telemetry ที่น่าสงสัย และเปลี่ยนรหัสผ่านรวมถึงข้อมูลรับรองที่เก็บไว้บนเครื่องที่ได้รับผลกระทบ

ผู้เชี่ยวชาญด้านความปลอดภัยยังแนะนำให้ติดตั้งเครื่องมือสำหรับนักพัฒนาจากแหล่งที่ยืนยันแล้วเท่านั้น ตรวจสอบแพ็กเกจ npm อย่างรอบคอบก่อนติดตั้งแบบ global และใช้เครื่องมือสแกนซัพพลายเชนเพื่อตรวจจับการพึ่งพาที่น่าสงสัย

โครงการ Openclaw เองไม่ได้ถูกเจาะ และนักวิจัยเน้นว่าการโจมตีนี้อาศัยการปลอมตัวเป็นเฟรมเวิร์กผ่านชื่อแพ็กเกจที่หลอกลวง มากกว่าการใช้ช่องโหว่ในซอฟต์แวร์อย่างเป็นทางการ

คำถามที่พบบ่อย 🔎

• แพ็กเกจ npm Openclaw อันตรายคืออะไร?
  แพ็กเกจนี้ปลอมตัวเป็นตัวติดตั้ง OpenClaw และติดตั้งมัลแวร์ GhostLoader อย่างลับๆ
• มัลแวร์ Ghostloader ขโมยอะไรบ้าง?
  มันรวบรวมรหัสผ่าน ข้อมูลรับรองของเบราว์เซอร์ ข้อมูลวอลเล็ตคริปโต คีย์ SSH และข้อมูลรับรองของบริการคลาวด์
• ใครมีความเสี่ยงมากที่สุดจากการโจมตีมัลแวร์ npm นี้?
  ทุกคนที่ติดตั้งแพ็กเกจ โดยเฉพาะผู้ที่ใช้เฟรมเวิร์ก AI หรือเครื่องมือวอลเล็ตคริปโต อาจทำให้ข้อมูลรับรองรั่วไหล
• ควรทำอย่างไรหากได้ติดตั้งแพ็กเกจนี้แล้ว?
  ให้ลบทิ้งทันที ตรวจสอบไฟล์การเริ่มต้นระบบ ลบไดเรกทอรีที่น่าสงสัย และเปลี่ยนข้อมูลรับรองที่ละเอียดอ่อนทั้งหมด