Una serie de habilidades maliciosas dirigidas al mercado de agentes de IA de OpenClaw ha revelado una peligrosa vulnerabilidad en la seguridad de la cadena de suministro de software. Los atacantes están utilizando el mercado ClawHub para introducir código dañino en los entornos de agentes de IA, logrando robar datos y ejecutar estafas financieras que las herramientas de seguridad tradicionales no pudieron detectar.

Una ola de habilidades maliciosas dirigidas al mercado de agentes de IA OpenClaw ha expuesto una nueva y peligrosa frontera en la seguridad de la cadena de suministro de software.

Los atacantes están utilizando el mercado de habilidades ClawHub para introducir código dañino en los entornos de agentes de IA, robando datos y ejecutando esquemas de fraude financiero que las herramientas de seguridad tradicionales no lograron detectar.

OpenClaw es un agente de IA que ejecuta habilidades de terceros provenientes de ClawHub, un mercado especializado. Estas habilidades son paquetes basados en markdown con un acceso profundo a los sistemas locales.

Cuando se instala una habilidad maliciosa, esta puede tomar el control total de la identidad del agente y ejecutar acciones no autorizadas a través de las propias sesiones autenticadas del agente, todo sin necesidad de un exploit convencional.

Investigadores de Unit 42 dijeron en un informe que su análisis entre febrero y mayo de 2026 descubrió cinco habilidades maliciosas que evadieron el cribado integrado de VirusTotal y ClawScan de ClawHub.

Se informó de la eliminación de las cinco habilidades y las cuentas asociadas fueron posteriormente suspendidas.

Las cinco habilidades se dividieron en tres categorías de amenazas: infostealers conectados a una infraestructura de comando y control, una herramienta de evasión por relleno de archivos diseñada para superar los umbrales del escáner, y dos amenazas agénticas novedosas creadas para obtener beneficios económicos.

Bitdefender Labs había advertido previamente que aproximadamente el 17% de las habilidades en la plataforma contenían cargas maliciosas, y la revelación ClawHavoc de Koi Security documentó 341 habilidades maliciosas en todo el mercado.

La persistencia de estas amenazas, incluso después de la introducción del cribado automatizado, indica que el riesgo para los ecosistemas de agentes de IA está lejos de resolverse.

El problema central es que las habilidades maliciosas utilizan el lenguaje natural para secuestrar el propio comportamiento de seguimiento de instrucciones de la IA, evadiendo las barreras de protección que protegen los entornos de software más convencionales.

El mercado de habilidades de OpenClaw expone a los agentes de IA

Dos de las cinco amenazas eran habilidades disfrazadas de asistentes de productividad de TradingView para macOS.

Ambas incluían un bloque de prerrequisitos malicioso que dirigía a los agentes a un señuelo de redireccionamiento de sitio de pegado en rentry[.]co/openclaw-code, donde un comando codificado en Base64 esperaba ser ejecutado en una ventana de terminal.

Ese comando descargaba entonces un infostealer de macOS llamado cluw desde un servidor remoto en 2.26.75[.]16.

Una habilidad independiente llamada omnicogg integró el dropper de malware AMOS dentro de un archivo README.md, y luego lo rellenó con 22 MB de caracteres basura para superar los límites de tamaño de archivo que imponen la mayoría de las canalizaciones de escaneo.

Tanto VirusTotal como ClawScan devolvieron veredictos limpios, lo que significa que la habilidad permaneció disponible libremente mientras ocultaba código malicioso activo.

Cada una de estas habilidades imitaba una herramienta legítima. Las habilidades de TradingView parecían ser ayudas de productividad para traders, y omnicogg se hacía pasar por una utilidad general.

Los atacantes explotaron la confianza que los usuarios depositan en un mercado curado, dificultando la detección tanto para las herramientas automatizadas como para los revisores humanos.

Fraude financiero agéntico y explotación novedosa

Más allá del robo de datos, los investigadores encontraron dos habilidades creadas para abusar de la autoridad asesora del agente de IA con fines lucrativos. La habilidad money-radar se presentaba como un asesor de productos financieros para usuarios en China continental, Hong Kong y Singapur.

En cada invocación, obtenía silenciosamente una carga útil de laosji[.]net e integraba enlaces de seguimiento de afiliados en cada recomendación que generaba.

El operador podía cambiar los productos recomendados en cualquier momento sin el conocimiento del usuario. La habilidad letssendit fue más allá ejecutando un esquema de "pump-and-dump" en la blockchain de Solana.

Los agentes instalados reunieron criptomoneda SOL en la billetera del operador, tras lo cual el operador compró el token meme SENDIT al precio más bajo disponible antes de lanzarlo en pump[.]fun.

Los compradores externos podrían confundir la actividad coordinada de la IA con una demanda orgánica, permitiendo que el operador vendiera su posición barata a compradores secundarios con ganancias.

Estos casos representan algunas de las primeras instancias documentadas de agentes de IA autónomos siendo utilizados para el fraude financiero coordinado.

Los investigadores recomiendan validar la procedencia del editor, auditar los archivos fuente de las habilidades línea por línea y monitorear el tráfico de red saliente en busca de conexiones a endpoints no documentados.

Cualquier comportamiento que no coincida con el propósito declarado de una habilidad debe ser marcado como un posible indicador de compromiso.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Dirección IP	2.26.75[.]16	Servidor C2 que aloja la carga útil del infostealer cluw de macOS
Dirección IP	91.92.242[.]30	Servidor C2 de AMOS utilizado en campañas tempranas y actuales
URL	91.92.242[.]30/lamq4	Endpoint de entrega de carga útil de AMOS
Dominio	download.setup-service[.]com	Dominio de distribución de descargas maliciosas
Dominio	install.app-distribution[.]net	Dominio de distribución de aplicaciones maliciosas
Dominio	laosji[.]net	Dominio utilizado para la inyección de afiliados en tiempo de ejecución vía la habilidad money-radar
Dominio	openclawcli.vercel[.]app	Infraestructura asociada con el CLI de OpenClaw malicioso
URL	rentry[.]co/openclaw-code	Señuelo de redireccionamiento de sitio de pegado que entrega un dropper codificado en Base64
URL	glot[.]io/snippets/hfd3x9ueu5	Sitio de pegado intermediario utilizado para la entrega de la carga útil de macOS
URL de GitHub	github[.]com/Ddoy233/openclawcli	Repositorio malicioso de OpenClaw CLI
SHA256	818aea6143282b352fdfdc0f3ebf77a36e54eb3befb5cad1a355a99ab97c6aa7	Carga útil del infostealer cluw de macOS
SHA256	881ce5cb124c4d2e814783724cc1388f6a1cbf6eee274c3f3366e77ba3503ad7	Hash de la carga útil de la habilidad maliciosa
SHA256	b30eaed1f7478c28f4ec50d07ed5ef014ffbc4b2bc5a38d689ba9f7abb5e19c2	Habilidad omnicogg (dropper AMOS con relleno de archivo)
SHA256	b6c7e0bf573b1c7d9d3a05eb08d26579199515b847df984862805f44a7af8007	Habilidad maliciosa tradingview-ai-indicator-assistant
SHA256	ebb73dbb5aac1f6fe1a88e8f26126a1e1aa34c9f3345ad4345189b40d9bf1d1d	Habilidad de inyección de afiliados money-radar
SHA256	f4e41aa269c88bf11a2022701a9cf41e9a186aa1b224d837c31bf34e0b875d0e	Habilidad agéntica de front-running letssendit
Editor/Habilidad	[redactado]/santi-text-game	Habilidad maliciosa identificada en la investigación
Editor/Habilidad	[redactado]/omnicogg	Habilidad dropper AMOS con relleno de archivo
Editor/Habilidad	[redactado]/letssendit	Habilidad agéntica de front-running / pump-and-dump
Editor/Habilidad	[redactado]/money-radar	Habilidad de inyección de afiliados agéntica en tiempo de ejecución
Editor/Habilidad	[redactado]/ai-tradingview-assistant-for-macos	Habilidad de entrega de infostealer de macOS
Editor/Habilidad	[redactado]/tradingview-ai-indicator-assistant	Habilidad de entrega de infostealer de macOS
Editor/Habilidad	[redactado]/pdfcheck	Habilidad maliciosa identificada en la investigación
Editor/Habilidad	[redactado]/update	Habilidad maliciosa identificada en la investigación
Editor/Habilidad	[redactado]/wistec-core	Habilidad maliciosa identificada en la investigación

Nota: Las direcciones IP y los dominios han sido "desactivados" intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o la creación de enlaces. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/openclaw-skill-marketplace-exposes-ai-agents/