Atakujący wykorzystują popularność OpenClaw, umieszczając fałszywe „instalatory” na GitHubie, promowane przez wyniki wyszukiwania Bing AI, aby dostarczać programy do kradzieży informacji i złośliwe oprogramowanie proxy zamiast asystenta AI, którego szukali użytkownicy.
OpenClaw to otwarty, samodzielnie hostowany agent AI, który działa lokalnie na Twoim komputerze i ma szerokie uprawnienia: może odczytywać i zapisywać pliki, uruchamiać polecenia powłoki, współpracować z aplikacjami do czatu, pocztą elektroniczną, kalendarzami i usługami w chmurze. Innymi słowy, jeśli podłączysz go do swojego cyfrowego życia, może on ostatecznie obsługiwać dostęp do wielu poufnych danych.
I, jak to jest często tak jestPopularność pociąga za sobą podszywanie się pod markę. Według naukowcy W Huntress atakujący stworzyli złośliwe repozytoria GitHub podszywające się pod Windows OpenClaw Windows , w tym repozytorium o nazwie openclaw-installerZostały one dodane 2 lutego i pozostawały dostępne do około 10 lutego, kiedy to zostały zgłoszone i usunięte.
Wyniki wyszukiwania Bing kierowały ofiary do tych repozytoriów GitHub. Jednak po pobraniu i uruchomieniu fałszywego instalatora ofiary nie otrzymywały programu OpenClaw. Instalator umieszczał bezpośrednio w pamięci znany program do kradzieży informacji o nazwie Vidar. W niektórych przypadkach program ładujący wdrażał również GhostSocks, skutecznie zamieniając system ofiary w domowy węzeł proxy, przez który przestępcy mogli kierować swój ruch, aby ukryć swoją działalność.
Jak zachować bezpieczeństwo
Dobrą wiadomością jest to, że kampania wydaje się być krótkotrwała i istnieją jasne wskaźniki oraz środki zaradcze, które można zastosować.
Jeśli niedawno pobrałeś instalator OpenClaw z serwisu GitHub po wyszukaniu Windows„OpenClaw Windowsw wyszukiwarce Bing, zwłaszcza na początku lutego, powinieneś założyć, że Twój system został zainfekowany, dopóki nie udowodnisz, że jest inaczej.
Vidar może wykraść dane logowania do przeglądarki, portfele kryptowalutowe i dane z aplikacji takich jak Telegram. GhostSocks po cichu zamienia Twój komputer w węzeł proxy dla ruchu innych osób. Nie jest to tylko kwestia prywatności. Może to narazić Cię na dochodzenie w sprawie nadużyć, gdy ataki innych osób będą wyglądały, jakby pochodziły z Twojego adresu IP.
Jeśli podejrzewasz, że uruchomiłeś fałszywy instalator:
- Odłącz urządzenie od sieci, a następnie uruchom pełne skanowanie systemu za pomocą renomowanego, aktualnego oprogramowania antywirusowego.
- Zmień hasła do ważnych usług (e-mail, bankowość, chmura, konta programistów) i zrób to na innym, czystym urządzeniu.
- Sprawdź ostatnie logowania i sesje pod kątem nietypowej aktywności i włącz uwierzytelnianie wieloskładnikowe (MFA), jeśli jeszcze tego nie zrobiłeś.
Jeśli nadal chcesz korzystać z OpenClaw:
- Uruchom OpenClaw (lub podobne agenty) w maszynie wirtualnej typu sandbox lub kontenerze na izolowanych hostach, z domyślnym blokowaniem ruchu wychodzącego i ściśle określonymi listami dozwolonych adresów.
- Nadaj środowisku uruchomieniowemu własne tożsamości usług niebędących użytkownikami, minimalne uprawnienia, krótki czas życia tokenów i brak bezpośredniego dostępu do tajemnic produkcyjnych lub danych wrażliwych.
- Traktuj instalację umiejętności/rozszerzeń jako wprowadzenie nowego kodu do środowiska uprzywilejowanego: ogranicz rejestry, sprawdzaj pochodzenie i monitoruj rzadkie lub nowo pojawiające się umiejętności.
- Rejestruj i okresowo sprawdzaj pamięć/stan i zachowanie agenta pod kątem trwałych zmian instrukcji, zwłaszcza po pobraniu niezaufanych treści lub udostępnionych kanałów.
- Zrozum i przygotuj się na sytuację, w której może być konieczne całkowite wyczyszczenie i ponowne zainstalowanie systemu: miej pod ręką kopie zapasowe danych, które nie są poufne, udokumentuj procedurę odbudowy i rotacji poświadczeń oraz przećwicz ją.
- Używaj aktualnegorozwiązania antywirusowegodziałającego w czasie rzeczywistym, które wykrywa programy kradnące informacje i inne złośliwe oprogramowanie.
Nie tylko informujemy o zagrożeniach - my je usuwamy
Zagrożenia cyberbezpieczeństwa nigdy nie powinny wykraczać poza nagłówek. Chroń swoje urządzenia przed zagrożeniami, pobierając Malwarebytes już dziś.
