Los ciberdelincuentes están utilizando agentes de IA como una nueva vía para distribuir malware. A través de una campaña denominada ClawHavoc, atacaron el registro de habilidades ClawHub de OpenClaw (una plataforma de código abierto) mediante el uso de paquetes maliciosos en su mercado. El objetivo de este ataque es instalar software diseñado para el robo de datos y el acceso a monederos de criptomonedas en los dispositivos de las víctimas.

Los cibercriminales están convirtiendo a los agentes de IA en una nueva ruta para la entrega de malware. Una campaña dirigida a OpenClaw, una plataforma de código abierto que permite que los agentes de IA interactúen con archivos, aplicaciones de mensajería y comandos de terminal, utilizó paquetes envenenados en el mercado para colocar malware de robo de datos en los dispositivos de las víctimas.

La campaña, conocida como ClawHavoc, tuvo como objetivo el registro de habilidades ClawHub de OpenClaw con paquetes maliciosos disfrazados de herramientas útiles para desarrolladores, criptomonedas y automatización.

Las víctimas fueron engañadas para instalar utilidades falsas o pegar comandos en una terminal, lo que permitió a los atacantes descargar malware capaz de robar monederos de criptomonedas, contraseñas, datos del navegador y credenciales de desarrollador.

Investigadores de Trellix identificaron la actividad mientras rastreaban fallos críticos y explotaciones activas que afectaban a los despliegues de OpenClaw.

Su investigación descubrió que el ataque fue más allá de una simple campaña de paquetes maliciosos, mostrando cómo los flujos de trabajo de IA en los que confías pueden ser abusados para persuadir a los usuarios y ejecutar comandos dañinos en sistemas con permisos amplios.

El informe de Trellix compartido detalla la cadena de infección observada y las medidas defensivas. El riesgo es significativo porque un agente de IA puede estar conectado a archivos locales, cuentas en la nube, chats y herramientas de línea de comandos.

Si un atacante controla una habilidad o introduce instrucciones ocultas en el contenido que lee un agente, la IA puede convertirse en un ayudante involuntario en el robo de datos o la entrega de malware.

Informes recientes sobre los riesgos de la cadena de suministro del mercado de OpenClaw muestran por qué los permisos de los agentes ahora merecen el mismo escrutinio que cualquier aplicación privilegiada.

Convierten los agentes de IA de OpenClaw en armas

Los atacantes inundaron ClawHub con más de 350 habilidades maliciosas, según Trellix. Utilizaron nombres similares a herramientas legítimas, incluyendo clawhubb, clawhub-cli y openclawcli, mientras se dirigían a personas que buscaban automatización de criptomonedas, actualizaciones de software e integraciones de redes sociales.

Algunos paquetes fueron impulsados artificialmente para parecer populares o confiables. Las instrucciones maliciosas utilizaron un señuelo al estilo ClickFix. En lugar de explotar directamente un fallo de software, el paquete le decía al agente de IA que instruyera a su usuario a instalar un supuesto requisito de seguridad llamado AuthTool.

En Windows, las víctimas fueron dirigidas a un archivo ZIP protegido con contraseña. En macOS y Linux, se les animó a pegar un comando de terminal codificado en Base64.

Ese comando descargaba NovaStealer v2, un ladrón de información enfocado en macOS vinculado a la familia Atomic macOS Stealer.

El malware busca datos de más de 60 monederos de criptomonedas, incluidos MetaMask, Phantom, Exodus y Electrum, mientras también recopila cookies del navegador, información de inicio de sesión, claves SSH, credenciales de la nube y archivos .env.

La campaña sigue un patrón más amplio visto en ataques contra usuarios de Apple, donde avisos engañosos empujan a las víctimas a ejecutar ellos mismos comandos de terminal.

En una campaña reciente de entrega de malware ClickFix, los atacantes utilizaron similitudmente actualizaciones falsas y avisos de ingeniería social para atacar datos del navegador, credenciales y monederos de criptomonedas.

La inyección de prompts eleva las apuestas

Trellix también advirtió que las habilidades envenenadas son solo una parte del problema. Los atacantes pueden usar la inyección de prompts indirecta, donde se colocan instrucciones ocultas en correos electrónicos, documentos, páginas web o mensajes de chat que se le pide a un agente de IA que procese.

El agente puede entonces tratar el texto controlado por el atacante como una instrucción en lugar de contenido no confiable. En las pruebas, los investigadores descubrieron que OpenClaw podía leer el contenido del portapapeles, descargar y ejecutar archivos, y crear tareas programadas cuando recibía comandos.

Tales capacidades son útiles para la automatización, pero se vuelven peligrosas cuando un agente tiene acceso irrestricto al sistema operativo y confía en instrucciones maliciosas.

Ataques similares de inyección de prompts contra agentes de codificación han demostrado que el contenido hostil de un repositorio puede conducir a la ejecución de comandos no autorizados.

Si tu organización utiliza OpenClaw, deberías actualizar los despliegues antiguos, evitar usar la plataforma en estaciones de trabajo principales y colocarla en dispositivos aislados o servidores virtuales.

Deberías restringir el acceso a la red, conectar solo cuentas de bajo riesgo, auditar las habilidades instaladas y vigilar procesos hijos sospechosos, como node.exe lanzando PowerShell, curl, nc.exe o schtasks.exe.

Tus equipos de seguridad también deberían tratar las solicitudes de herramientas generadas por IA como no confiables hasta que sean verificadas. Restringir los permisos del agente, requerir aprobación antes de acciones sensibles y separar el contenido externo de los comandos privilegiados puede reducir la exposición.

La guía de investigaciones relacionadas sobre la inyección de prompts de IA recalca similitudmente el uso de herramientas en listas blancas, credenciales de privilegio mínimo, puertas de aprobación y el monitoreo de accesos inusuales a secretos.

Fuentes:
https://cybersecuritynews.com/openclaw-ai-agents/