OpenClawの導入環境が、サプライチェーン汚染やClickFix型のソーシャルエンジニアリング、間接的なプロンプトインジェクションを用いる脅威アクターの標的となっています。
Trellix Advanced Research Centerによると、攻撃者はClawHubスキルレジストリを悪用し、情報窃取型マルウェアの一種であるNovaStealerを配布していました。このマルウェアは、暗号資産ウォレット、開発者向け認証情報、ブラウザデータ、AIエージェントのコンテキスト情報を狙うよう設計されています。
ClawHavocと名付けられたこのキャンペーンは、2026年初頭にかけて300以上のスキルおよびプラットフォームに影響を及ぼしたと報告されています。
攻撃者は、正規のOpenClawツールになりすました悪意あるパッケージをアップロードしていました。その中には「clawhub-cli」「clawhubb」「openclawcli」といったタイポスクワッティング(綴りを似せた偽装)された名称も含まれています。
一部のパッケージは、ダウンロード数の指標を人為的に操作することで、意図的に評価を高められていました。
OpenClawは大規模言語モデル(LLM)をローカルシステムと連携させ、エージェントがファイルの読み取り、ターミナルコマンドの実行、メッセージングアプリへのアクセス、ワークフローの自動化を行えるようにする仕組みです。
これほどの権限は、エージェントが信頼できないスキルや文書、メール、Webコンテンツを処理する際に、大きな危険をもたらす可能性があります。
悪意あるClawHubスキルには、SKILL.mdファイル内に人を欺くような指示が含まれていたと報告されています。これらの指示は、ユーザーに「AuthTool」と称するツールをインストールさせたり、偽の設定問題を解決するためとしてBase64でエンコードされたコマンドを手動実行させたりする内容でした。
macOSおよびLinux環境では、このエンコード済みコマンドがIPアドレス91.92.242.30からペイロードをダウンロードしていました。このペイロードはNovaStealer v2と特定されており、IntelとApple Siliconの両デバイスで動作するユニバーサルMach-Oバイナリです。
NovaStealerは、以下を含む高価値なデータを探索します。
このマルウェアはXORベースの文字列難読化を用いて、内部パスやコマンド&コントロール(C2)インフラを実行時まで隠蔽します。これにより、静的解析やシグネチャベースの検知がより困難になる可能性があります。
研究者らはまた、OpenClawが外部コンテンツを処理できるという性質そのものが、間接的なプロンプトインジェクションのリスクを生み出していると警告しています。攻撃者は、エージェントが要約や解析を依頼されるメール、Webサイト、文書、チャットメッセージの中に、悪意ある指示を隠すことが可能です。
エージェントがこれらの指示を正当なものとして受け入れてしまうと、ファイルのダウンロード、PowerShellやシェルコマンドの実行、クリップボードデータへのアクセス、永続化のためのスケジュールタスク作成といったツール呼び出しを生成してしまう恐れがあります。このシナリオでは、攻撃者はエージェントのチャットインターフェースに直接アクセスする必要すらありません。
最大のリスクは、無制限なコマンド実行にあります。LLMが生成したコマンドが、厳格な検証やサンドボックス化、ユーザー承認を経ずにオペレーティングシステムに渡されてしまえば、エージェント自体が事実上マルウェアの実行機構と化しかねないとTrellixは述べています。
注: IPアドレスおよびドメインは、誤ったアクセスやハイパーリンク化を防ぐため、意図的に無害化表記([.]など)しています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMといった管理されたスレットインテリジェンス環境内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/novastealer-targets-crypto-wallets/
