OpenClaw が ClawHub 上の数百のスキルがマルウェアに感染しサイバー犯罪攻撃の標的に

サイバー犯罪者の組織的なキャンペーンは ClawHub マーケットプレイスを悪用し、ユーザーのコンピュータ上で自律的なタスクを実行するオープンソースの人工知能エージェント ツールである OpenClaw と互換性のある数百の悪意のあるスキルを配布しました。この行為は主に 2026 年 1 月末から 2 月初めの間に発生し、その結果、インフォスティーラー タイプのマルウェアをインストールする汚染されたファイルが数千件ダウンロードされました。これらのプログラムは、ファイルを暗号化したり身代金を要求したりすることなく、認証情報、API キー、開発者トークン、および暗号通貨ウォレット情報を盗みます。最もダウンロードされたスキルは 7,000 を超えるインストールを記録しており、主に開発者とトレーダーを高いリスクにさらしています。

OpenClaw を使用すると、エージェントはブラウザ、端末、ローカル アプリケーションにアクセスできるようになり、直接アクション機能によって一般的なチャットボットと区別されます。この自律性を実現するには、追加のスキル、つまりタスクを自然言語で記述するマークダウン形式のファイルをインストールする必要があります。

• ClawHub はオープン コミュニティ リポジトリとして機能します。
• 誰でもスキルを公開できます。
• ファイルには、ダウンロードやコマンドの実行など、エージェントが自動的に従う指示が含まれています。

攻撃者は 386 件の悪意のあるスキルを組織的に公開し、その多くは仮想通貨取引や技術タスクの自動化のための正規ツールを装っていました。何百行にも及ぶ広範な専門的な文書により、信頼できるように見せかけられました。テキストの途中に、必須とされる依存関係のインストールを推奨する緊急の視覚アラートが挿入されました。これらのアラートには、難読化されたbase64コマンドや、犯罪者が管理するサーバーへのリンクが含まれていました。

さまざまなシステムで攻撃がどのように機能するか

macOS では、このコマンドは攻撃者のサーバーからマルウェアを直接ダウンロードするスクリプトをデコードしました。上級バージョンでは、インターネットから疑わしいファイルをブロックする Apple のネイティブ セキュリティ メカニズムである Gatekeeper から隔離属性が削除されました。主なペイロードは、キーチェーン データとブラウザ セッションを収集することで知られる Atomic Stealer でした。

Windows では、GitHub のリポジトリからパスワードで保護された ZIP ファイルをダウンロードするように指示されました。抽出後、実行可能ファイルは、Cookie、保存されたパスワード、およびクラウド サービスの資格情報をキャプチャできるキーロガーとインフォスティーラーをインストールしました。すべての亜種は、盗まれた情報を同じコマンドおよび制御 IP アドレスに送信し、集中操作を示しました。

サイバーセキュリティ研究者は、OpenClaw AI プラットフォームの公式コンポーネント リポジトリである ClawHub で 341 の悪意のあるスキルを発見しました。これらのスキルは、一見正当なもののように見えますが、ユーザーから機密データを盗むという隠れた目的を持って設計されています。pic.twitter.com/zc63pVqXGK

— エリオットセックオプス (@ElliotSecOps)2026 年 2 月 2 日

キャンペーンの規模と調整

このキャンペーンでは、一見異なるアカウントによってスキルが公開されているものの、共通のインフラストラクチャを共有しているという、洗練された計画が明らかになりました。 1 つのプロファイルで、類似した名前を持つ何百ものバリエーションが作成され、ClawHub の検索結果での順位が上がりました。この戦術は、人気商品や評価の高い商品に対する自然な信頼を利用したものでした。

独立した調査では、この期間中にアクティブだった 341 ～ 386 の悪意のあるスキルが特定されました。ほとんどは削除されるまで数日間入手可能であったため、広範な配布が可能でした。影響を受けるユーザーは、プライベート リポジトリにアクセスできるプログラマーや暗号通貨交換キーを持つトレーダーなど、技術的なプロファイルに集中しています。

自律エージェントに固有のリスク

OpenClaw のようなエージェントは、命令の読み取りと実行の間の従来の障壁を解消します。モデルは躊躇することなくマークダウンコマンドに従い、人間が疑うような危険な行動を正規化します。厳密なモデレーションのないコミュニティ プラットフォームでは、非表示のペイロードが挿入されやすくなります。

ClawHub に当初は必須の認証がなかったことも問題をさらに悪化させました。スキルは構造化された許可プロトコルに従う必要がなく、フリーテキストを介して直接ソーシャルエンジニアリングを行うことができます。攻撃はまさにこの柔軟性と、このツールの急速な人気を悪用します。

採用された封じ込め対策

OpenClaw 開発者は、ClawHub を検出すると直ちに制限を実装しました。現在は、古い検証済みの GitHub アカウントのみがスキルを公開できるため、偽のプロファイルの作成が減少します。疑わしいコンテンツを迅速に削除するための直接報告機能が追加されました。

コミュニティは、補完的なインストール前検証ツールを作成しました。ユーティリティは、マークダウン ファイルをスキャンして、base64 コマンドや不審なドメインへのリンクなどの既知の悪意のあるパターンを検出します。コア ツールの最近の更新には、セキュリティ ゲートウェイのサポートと実行権限の強制が含まれています。

被害者のプロフィールと侵害されたデータ

OpenClaw ユーザーは通常、攻撃者にとって高い価値を持っています。開発者は、SSH キー、API トークン、およびリモート サーバーへのアクセスを管理します。トレーダーは、暗号通貨プラットフォームやプライベートウォレットからの認証情報を保存します。

マルウェアはアクティブなセッションのサイレント収集を優先し、新しいパスワードを必要とせずに永続的なアクセスを許可します。データには、閲覧履歴、フォームの自動入力、機密性の高い操作時のクリップボードの内容が含まれます。この組み合わせにより、被害者はデジタル個人情報盗難キャンペーンの優先ターゲットとなります。

コミュニティ防御の進化

残留リスクを軽減するために、独立したツールがすぐに登場しました。スキャナーはインストール前にスキルを分析し、実際のファイル内の数十の重要なパターンを特定します。ローカルのウイルス対策ソフトとの統合により、不審なコマンドの自動実行がブロックされます。

開発者は、手動でマークダウンを確認し、テストには分離された環境を使用することをお勧めします。 ClawHub の継続的な更新では、モデレーションと作成者の追跡が優先されます。コミュニティは、疑惑により削除されたスキルの公開リストを管理しています。

悪意のあるスキルの技術的特徴

正当なスキルはワークフローを自然言語で記述し、エージェントの拡張を可能にします。悪意のあるバージョンは、最初のセクションでは同一の構造を維持しているため、気付かれません。これらは、必要な構成を装って、ペイロードを中間または最後に挿入します。

コマンドはエンコードを使用して静的検出を回避します。リンクは偽の公式ドキュメントを指しており、一時サーバーにリダイレクトされます。バリアントには、メイン エージェントから独立して実行される添付スクリプトが含まれています。