Angreifer missbrauchen die Popularität von OpenClaw, indem sie gefälschte „Installationsprogramme“ auf GitHub platzieren, die durch die Suchergebnisse der Bing-KI gefördert werden, um Infostealer und Proxy-Malware zu verbreiten, anstatt den KI-Assistenten, den die Nutzer eigentlich gesucht haben.
OpenClaw ist ein Open-Source-KI-Agent, den du selbst hosten kannst und der lokal auf deinem Rechner läuft. Er hat weitreichende Berechtigungen: Er kann Dateien lesen und schreiben, Shell-Befehle ausführen und mit Chat-Apps, E-Mails, Kalendern und Cloud-Diensten interagieren. Mit anderen Worten: Wenn du ihn in dein digitales Leben integrierst, kann er am Ende den Zugriff auf viele sensible Daten verwalten.
Und, wie es ist oft der Fall, Popularität führt zu Markenimitationen. Laut Forscher Bei Huntress haben Angreifer bösartige GitHub-Repositorys erstellt, die sich als OpenClaw Windows ausgaben, darunter ein Repo namens openclaw-installerDiese wurden am 2. Februar hinzugefügt und blieben bis etwa zum 10. Februar online, bis sie gemeldet und entfernt wurden.
Die Bing-Suchergebnisse verwiesen die Opfer auf diese GitHub-Repositorys. Als die Opfer jedoch das gefälschte Installationsprogramm heruntergeladen und ausgeführt hatten, erhielten sie keineswegs OpenClaw. Das Installationsprogramm legte Vidar, einen bekannten Informationsdieb, direkt im Speicher ab. In einigen Fällen setzte der Loader auch GhostSocks ein, wodurch das System des Opfers effektiv zu einem privaten Proxy-Knoten wurde, über den Kriminelle ihren Datenverkehr leiten konnten, um ihre Aktivitäten zu verbergen.
Wie man sicher bleibt
Die gute Nachricht ist, dass die Kampagne offenbar nur von kurzer Dauer war und es klare Indikatoren und Abhilfemaßnahmen gibt, die Sie nutzen können.
Wenn Sie kürzlich, insbesondere Anfang Februar, nach einer Suche nach „OpenClaw Windowsin Bing ein OpenClaw-Installationsprogramm von GitHub heruntergeladen haben, sollten Sie davon ausgehen, dass Ihr System kompromittiert ist, bis das Gegenteil bewiesen ist.
Vidar kann Browser-Anmeldedaten, Krypto-Wallets und Daten aus Anwendungen wie Telegram stehlen. GhostSocks verwandelt Ihren Rechner unbemerkt in einen Proxy-Knoten für den Datenverkehr anderer Personen. Das ist nicht nur ein Datenschutzproblem. Es kann Sie in Ermittlungen wegen Missbrauchs hineinziehen, wenn Angriffe anderer Personen scheinbar von Ihrer IP-Adresse ausgehen.
Wenn Sie vermuten, dass Sie ein gefälschtes Installationsprogramm ausgeführt haben:
- Trennen Sie das Gerät von Ihrem Netzwerk und führen Sie anschließend einen vollständigen Systemscan mit einer seriösen, aktuellen Anti-Malware-Lösung durch.
- Ändern Sie die Passwörter für wichtige Dienste (E-Mail, Online-Banking, Cloud, Entwicklerkonten) und tun Sie dies auf einem anderen, sauberen Gerät.
- Überprüfen Sie die letzten Anmeldungen und Sitzungen auf ungewöhnliche Aktivitäten und aktivieren Sie die Multi-Faktor-Authentifizierung (MFA), falls Sie dies noch nicht getan haben.
Wenn Sie dennoch OpenClaw verwenden möchten:
- Führen Sie OpenClaw (oder ähnliche Agenten) in einer Sandbox-VM oder einem Container auf isolierten Hosts aus, mit standardmäßig abgelehnten ausgehenden Verbindungen und streng begrenzten Zulassungslisten.
- Weisen Sie der Laufzeitumgebung eigene nicht-menschliche Dienstidentitäten, geringstmögliche Berechtigungen, kurze Token-Lebensdauern und keinen direkten Zugriff auf Produktionsgeheimnisse oder sensible Daten zu.
- Behandeln Sie die Installation von Fähigkeiten/Erweiterungen wie die Einführung von neuem Code in eine privilegierte Umgebung: Beschränken Sie Registrierungen, überprüfen Sie die Herkunft und überwachen Sie seltene oder neu auftretende Fähigkeiten.
- Protokollieren und überprüfen Sie regelmäßig den Speicher/Status und das Verhalten des Agenten auf dauerhafte Änderungen der Anweisungen, insbesondere nach der Aufnahme von nicht vertrauenswürdigen Inhalten oder gemeinsam genutzten Feeds.
- Verstehen Sie, wann Sie möglicherweise eine vollständige Neuinstallation durchführen müssen, und treffen Sie entsprechende Vorkehrungen: Halten Sie nicht sensible Status-Snapshots bereit, dokumentieren Sie einen Leitfaden für die Neuinstallation und die Rotation von Anmeldedaten und üben Sie diesen.
- Verwenden Sie eine aktuelle Echtzeit-Anti-Malware-Lösung, die Informationsdiebe und andere Malware erkennen kann.
Wir berichten nicht nur über Bedrohungen - wir beseitigen sie
Cybersecurity-Risiken sollten nie über eine Schlagzeile hinausgehen. Laden Sie noch heute Malwarebytes herunter, um Bedrohungen von Ihren Geräten fernzuhalten.
