GhostClaw маскирует кражу паролей под GitHub и AI-разработку

GhostClaw эволюционировала в новую вредоносную кампанию, которая использует GitHub repositories и рабочие процессы разработки с применением искусственного интеллекта для распространения credential-stealing malware в системах macOS. По данным исследования, схема стала заметно сложнее: злоумышленники выстраивают многоэтапную инфраструктуру, маскируют вредоносный код под полезные инструменты и эксплуатируют доверие пользователей к открытым репозиториям и developer workflows.

От benign code к внедрению вредоносных компонентов

Изначально кампания была задокументирована JFrog Security Research, а затем детали дополнили специалисты Jamf Threat Labs. Они обнаружили несколько GitHub repositories — в том числе с benign code — которые позднее были доработаны и дополнены вредоносными компонентами.

Такая схема промежуточной подготовки, по сути, работает на укрепление доверия: репозиторий сначала выглядит безопасным, набирает видимость и только затем начинает доставлять payload.

Как распространяется вредоносное ПО

Типичный вредоносный GitHub repository содержит README с инструкциями, которые побуждают пользователя самостоятельно выполнить команды в shell для установки вредоносного ПО. Нередко для этого используется curl, запускающий удалённые scripts.

Такой подход позволяет обходить привычные package managers и одновременно опираться на взаимодействие пользователя и его доверие к знакомой среде разработки.

Атака через AI-driven development workflows

Особый интерес представляет вариант кампании, нацеленный на AI-driven development workflows. В этом сценарии вредоносный контент упаковывается в внешне безобидные файлы SKILL.md.

Эти файлы выглядят как полезные артефакты для автоматизированных сред программирования, таких как OpenClaw, и позволяют запускать вредоносную логику под прикрытием доверенных процедур разработки.

Что делает install.sh

Сценарий установки install.sh сначала выполняет легитимные действия настройки:

• проверяет версию macOS;
• устанавливает совместимый Node.js;
• подготавливает среду для последующего запуска.

Однако за этой видимостью нормальной установки скрывается подготовка к запуску запутанных JavaScript payloads.

Основная функция: кража учетных данных

Ключевая функциональность сосредоточена в setup.js. Именно этот скрипт предназначен для того, чтобы обманом заставить пользователя передать учетные данные.

Он имитирует запросы на аутентификацию в macOS, запрашивает конфиденциальную информацию без использования официальных системных диалогов и может создавать собственные окна с помощью AppleScript. В ряде случаев вредоносное ПО маскируется под легитимные приложения, запрашивающие credentials.

Кроме того, вредонос пытается убедить пользователя предоставить Full Disk Access (FDA). Это расширяет доступ к данным и позволяет изменять параметры безопасности с помощью инструкций AppleScript.

Этот шаг критически важен для атакующих: он открывает доступ к конфиденциальным данным пользователя и приложений.

C2 и закрепление в системе

После получения действительных учетных данных скрипт подключается к серверу управления, или C2, чтобы загрузить дополнительный вредоносный payload. На этом этапе происходит закрепление в системе, при этом активность скрывается под видом доброкачественных npm packages.

Признаки согласованной инфраструктуры

Исследователи отмечают, что инфраструктура кампании демонстрирует согласованную структуру в нескольких GitHub repositories. Для связи с C2 infrastructure используются уникальные идентификаторы, что указывает на заранее спланированную архитектуру атаки.

Подобные методы вписываются в более широкую тенденцию: злоумышленники все чаще эксплуатируют supply chain и доверенные платформы для распространения вредоносного ПО.

Почему GhostClaw опасна

GhostClaw демонстрирует переход от традиционных методов доставки к более сложным стратегиям, где используются:

• поэтапные repositories;
• маскировка под legitimate tooling;
• манипуляции с developer workflows;
• социальная инженерия через инструкции по запуску scripts;
• получение расширенных прав доступа в macOS.

В совокупности это повышает вероятность успешного выполнения атаки и одновременно помогает сохранять низкую заметность.

Эксперты подчеркивают: GhostClaw — не единичный случай, а часть более широкой эволюции киберугроз, в которой злоумышленники адаптируют инструменты под масштабные среды разработки и эксплуатацию доверия к платформам с высокой репутацией.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.