Malware GhostClaw vole les données de portefeuille aux développeurs - Coinfea

Les hackers utilisent un nouveau malware appelé GhostClaw pour cibler les portefeuilles cryptographiques sur les machines macOS. L’installateur OpenClaw frauduleux capture les clés privées, l’accès au portefeuille et d’autres données sensibles après l’installation. Le package frauduleux a été téléchargé par un utilisateur nommé ‘openclaw-ai’ le 3 mars.

ContenuLe malware GhostClaw scanne le presse-papiers à la recherche de données cryptoLes attaquants intensifient leurs activités de vol de cryptoLe malware est resté sur le registre npm pendant une semaine et a infecté environ 178 développeurs avant d’être supprimé le 10 mars. Selon les rapports, @openclaw-ai/openclawai se faisait passer pour un outil CLI OpenClaw légitime, mais menait en réalité une attaque multi-étapes. Le malware recueillait des données sensibles auprès des développeurs. Il extrayait des portefeuilles crypto, des mots de passe du Keychain macOS, des identifiants cloud, des clés SSH et des configurations d’agents IA. Les données extraites relient les hackers aux plateformes cloud, aux bases de code et aux cryptos.

GhostClaw scanne le presse-papiers pour les données crypto

Selon des chercheurs, le malware GhostClaw surveille le presse-papiers toutes les trois secondes pour capturer des données crypto. Cela inclut les clés privées, les phrases de récupération, les clés publiques et d’autres données sensibles liées aux portefeuilles et transactions crypto. Une fois que le développeur exécute la commande ‘npm install’, un script caché installe le package GhostClaw globalement. L’outil exécute un fichier d’installation obfusqué sur la machine des développeurs pour éviter la détection.

Une fausse installation CLI OpenClaw apparaît alors à l’écran. Elle invite la victime à entrer son mot de passe macOS via une demande de Keychain. Le malware vérifie le mot de passe à l’aide d’un outil système natif. Ensuite, il télécharge une seconde charge utile JavaScript depuis un serveur C2 distant. La charge utile, appelée GhostLoader, agit comme un vol de données et un outil d’accès à distance. Le vol de données commence après le téléchargement de la seconde charge utile.

GhostLoader effectue le travail lourd. Il scanne les navigateurs Chromium, le Keychain macOS et le stockage système pour les données de portefeuille crypto. Il surveille également presque en continu le presse-papiers pour capturer des données crypto sensibles. Le malware clone même les sessions de navigateur. Cela donne aux hackers un accès direct aux portefeuilles crypto connectés et autres services liés. De plus, l’outil malveillant vole des tokens API qui connectent les développeurs à des plateformes IA comme OpenAI et Anthropic.

Les attaquants intensifient leurs activités de vol de crypto

Les données volées sont ensuite envoyées aux acteurs malveillants via Telegram, GoFile et des serveurs de commande. Le malware peut également exécuter de nombreuses commandes, déployer d’autres charges utiles et ouvrir de nouveaux canaux d’accès à distance. Une autre campagne malveillante exploitant l’engouement pour OpenClaw s’est également propagée sur GitHub. Disons par des chercheurs en cybersécurité d’OX Security, cette campagne vise à contacter directement les développeurs et à voler des données crypto.

Les attaquants créent des fils de discussion dans des dépôts GitHub et taguent des victimes potentielles. Ils prétendent ensuite que les développeurs sélectionnés sont éligibles pour recevoir 5 000 $ en tokens CLAW. Les messages mènent alors les développeurs vers un faux site web ressemblant exactement à openclaw[.]ai. Ce site de phishing envoie une demande de connexion au portefeuille crypto qui déclenche des actions nuisibles une fois acceptée par la victime. Lier un portefeuille au site peut entraîner un vol instantané des fonds crypto, avertissent les chercheurs d’OX Security.

Une analyse plus approfondie de l’attaque révèle que la configuration de phishing utilise une chaîne de redirection vers token-claw[.]xyz et un serveur de commande at watery-compost[.]today. Un fichier JavaScript malveillant vole alors les adresses de portefeuilles crypto et les transactions, puis les envoie au hacker. OX Security a trouvé une adresse de portefeuille liée à l’acteur malveillant qui pourrait contenir des crypto volés. Le code malveillant possède des fonctionnalités pour surveiller les actions de l’utilisateur et supprimer les données du stockage local. Cela complique la détection et l’analyse du malware.