Уязвимости OpenClaw и атака ClawHavoc: NovaStealer крадёт данные

OpenClaw представляет собой фреймворк с открытым исходным кодом для агентного ИИ. Он подключает большие языковые модели к ресурсам операционной системы, включая локальные файлы, платформы обмена сообщениями, буфер обмена и команды терминала без песочницы.

В отчете описаны уязвимости и случаи активной эксплуатации, затрагивающие выпуски OpenClaw до версии 2026.1.29. Исследование также охватывает снимки реестра ClawHub за март, апрель и май 2026 года.

Основные риски связаны с широкими возможностями выполнения команд, слабой изоляцией, хранением учетных данных в открытом виде и неявным доверием к запросам инструментов, сгенерированным LLM.

Кампания ClawHavoc затронула реестр ClawHub

В рамках кампании ClawHavoc реестр навыков ClawHub пополнился более чем 350 вредоносными или поддельными навыками. Часть пакетов использовала опечатки в названиях и выдавала себя за легитимные инструменты, включая clawhub-cli. Атаки были ориентированы на сценарии использования в криптографии, разработке и социальных сетях.

Вредоносные файлы SKILL.md применяли социальную инженерию в стиле ClickFix. Пользователей убеждали установить поддельную утилиту аутентификации, которую часто называли AuthTool, или вручную выполнить команду, закодированную в Base64.

После запуска команда загружала и выполняла универсальный бинарный файл Mach-O, NovaStealer v2, с IP-адреса 91.92.242.30 на системах macOS.

NovaStealer v2 собирал данные macOS и OpenClaw

NovaStealer v2 описан как вариант стиллера для macOS на базе Atomic macOS Stealer. Вредоносная программа нацелена на следующие данные:

• криптографические кошельки;
• файлы cookie и данные для входа в браузерах;
• информацию из Связки ключей macOS;
• SSH-ключи;
• учетные данные AWS;
• файлы .env;
• данные агентов, связанные с OpenClaw, включая ~/.clawdbot/HEARTBEAT.md.

Бинарный файл поддерживает архитектуры Intel и Apple Silicon. Для сокрытия строк он использует обфускацию на основе XOR.

Выполнение команд расширяет возможности атак

Неограниченная функциональность child_process.exec() в OpenClaw позволяет вредоносным навыкам или внедренным промптам получать доступ к содержимому буфера обмена, загружать и выполнять бинарные файлы, а также создавать запланированные задачи.

OpenClaw может передавать команды, сгенерированные LLM, непосредственно в оболочку хоста. В числе таких команд могут быть PowerShell, curl, nc.exe и schtasks.exe. Обязательное подтверждение не требуется, если параметры системы отключают проверки подтверждения.

Косвенное внедрение промптов

В отчете также описаны атаки с использованием косвенного внедрения промптов, или indirect prompt injection. Вредоносные инструкции могут быть встроены в электронные письма, веб-страницы, документы или содержимое чатов. После обработки таких данных агент может быть манипулирован и побужден к выполнению команд оболочки.

Рекомендованные меры защиты

Для снижения рисков в отчете рекомендуются следующие меры контроля:

• изолировать развертывания на выделенных системах или экземплярах VPS;
• ограничить сетевой доступ;
• не допускать публичного доступа к шлюзу;
• использовать учетные записи без доступа к конфиденциальным данным;
• проводить аудит установок;
• мониторить цепочки дочерних процессов node.exe;
• отслеживать подозрительные записи в файлы, связанные с известными артефактами ClawHavoc.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.