ClawHavoc: 341 bösartige ClawHub-Skills und eine Zahl, die sich ständig änderte

Am 1. Februar 2026 veröffentlichte das Sicherheitsunternehmen Koi Security eine Prüfung von ClawHub, dem Skill-Marktplatz des Open-Source-KI-Agenten OpenClaw: Von den dort gelisteten 2.857 Skills meldete es 341 als bösartig, wobei 335 davon einer einzigen koordinierten Operation zugeordnet wurden, die es ClawHavoc nannte. Das sind knapp 12 Prozent des Marktplatzes. Die Hauptnutzlast war Atomic Stealer, bekannt als AMOS, ein handelsüblicher macOS-Infostealer, der laut The Hacker News für etwa 500–1.000 US-Dollar pro Monat gemietet wird, und er gelangte über den Schritt, den Nutzer am stärksten darauf konditioniert sind, ohne Nachzudenken auszuführen – einen Abschnitt „Voraussetzungen“, der ihnen sagte, zuerst noch eine weitere Sache zu installieren. Windows-Nutzer wurden auf eine passwortgeschützte ZIP-Datei auf GitHub verwiesen; macOS-Nutzer auf einen auf glot.io gehosteten Shell-Befehl, mit der Anweisung, ihn in Terminal einzufügen. Der eigene Eintrag des Archivs für die Kampagne mit seinen Schweregrad- und Konfidenzbewertungen steht im Orca AI Incident Archive neben den anderen in dieser Woche erfassten Lieferkettenvorfällen.

Was Koi tatsächlich angesehen hat

ClawHub ist ein Community-Marktplatz, der neben OpenClaw steht, einem selbst gehosteten KI-Assistenten, der früher als Clawdbot und Moltbot bekannt war. Skills sind der Erweiterungsmechanismus: gebündelte Anweisungen plus Skripte, die dem Agenten beibringen, eine bestimmte Aufgabe zu erledigen – eine Solana-Wallet auslesen, ein YouTube-Video zusammenfassen, Preise auf Polymarket verfolgen. Wer einen Skill installiert, gewährt ihm dieselben Zugriffsrechte, die der Agent hat.

Koi führte seine Prüfung mit einem eigenen OpenClaw-Bot namens Alex durch, laut dem Bericht von The Hacker News vom 2. Februar. Der in diesem Bericht zitierte Forscher Oren Yomtov beschrieb den Köder in einfachen Worten: „Du installierst etwas, das wie ein legitimer Skill aussieht – vielleicht solana-wallet-tracker oder youtube-summarize-pro. Die Dokumentation des Skills sieht professionell aus. Aber es gibt einen Abschnitt ‚Voraussetzungen‘, der besagt, dass du zuerst etwas installieren musst.“

Der Grund, warum es überhaupt einen Markt zum Vergiften gab, ist, dass ClawHub standardmäßig offen war. The Hacker News berichtete, dass jeder hochladen konnte, und die einzige Einschränkung damals war, dass das GitHub-Konto des Veröffentlichenden mindestens eine Woche alt sein musste. Kois eigener Bericht beschrieb die Plattform als mit „praktisch keinen Sicherheitsüberprüfungsmechanismen“ ausgestattet, eine Passage, die Antiy CERT in seiner eigenen Analyse zitiert.

Wie die Nutzlast eintraf

Die Bereitstellung unterschied sich je nach Betriebssystem, aber die Form war dieselbe: Die Fähigkeit selbst ist weitgehend harmlos, und der Schaden steckt in den Installationsanweisungen.

Unter Windows verlinkte die Dokumentation auf ein GitHub-Release, das eine passwortgeschützte ZIP-Datei enthielt. Darin befand sich ein Trojaner mit Keylogging-Funktion, der auf API-Schlüssel, Anmeldedaten und alles andere abzielte, was der Bot auf diesem Rechner bereits erreichen konnte – was auf einem Agent-Host eine ganze Menge ist. Der Bericht von Antiy CERT besagt, dass die Archive typischerweise eines von drei Passwörtern enthielten (1202, openclaw oder 1234), und merkt an, worin der Zweck der Verschlüsselung besteht: Sie bringt die Datei an GitHubs eigener Überprüfung und an der Echtzeitüberprüfung auf dem Rechner des Opfers vorbei.

• Unter macOS wies die Dokumentation Benutzer an, ein unter glot[.]io gehostetes Skript zu kopieren und in Terminal einzufügen. Das Skript führte obfuskierte Shell-Befehle aus, kontaktierte 91.92.242[.]30 für ein zweites Skript, und dieses Skript lud eine universelle Mach-O-Binärdatei herunter – ein Build für Intel und Apple Silicon gleichermaßen.

Koi kam zu dem Schluss, dass diese Binärdatei Merkmale aufweist, die mit AMOS übereinstimmen. OpenSourceMalware, die von Paul McCarty geleitete Forschungsgruppe, meldete dieselbe Kampagne am selben Tag und bewertete ihre eigene Probe etwas anders: wahrscheinlich ein neuer NovaStealer-Stamm. Die beiden Berichte stimmen in Bezug auf die Infrastruktur, den Köder und die anvisierten Daten überein — Exchange-API-Schlüssel, Wallet-Dateien, Browser-Erweiterungsdaten einschließlich MetaMask, Seed-Phrasen, macOS-Keychain, gespeicherte Browser-Passwörter, SSH-Schlüssel, Cloud- und Git-Anmeldedaten, .env-Dateien — aber nicht genau in Bezug auf die Familienbezeichnung. Beide Zuordnungen stammen von den Forschern selbst.

Nicht jeder bösartige Skill war ein ClawHavoc-Voraussetzungsköder. Koi meldete Skills – darunter better-polymarket und polymarket-all-in-one –, die Reverse-Shell-Backdoors in ansonsten funktionierendem Code versteckten, sodass die Kompromittierung bei normaler Nutzung statt bei der Installation erfolgte. Ein weiterer Skill, rankaj, sendete in ~/.clawdbot/.env gespeicherte Bot-Anmeldedaten an einen webhook[.]site-Endpunkt. Die Namen waren darauf ausgelegt, beim schnellen Lesen falsch gelesen zu werden: clawhubb, cllawhub, clawwhub, clawhubcli, neben Krypto-, YouTube-, Auto-Updater- und Google-Workspace-Imitaten.

Antiy CERT ergänzt ein Detail, das als Einschätzung und nicht als Befund zu vermerken ist: Es gibt an, die Begleitdokumentation zu diesen Skills umfasse 500–700 Zeilen und sei „wahrscheinlich selbst KI-generiert“. Das ist eine Schlussfolgerung aus der Länge und Konsistenz der Dokumente, nicht etwas, das der Bericht belegt.

Die Anzahl ist nicht eine einzige Zahl.

Die Zahl, die ClawHavoc ständig begleitet, ist nicht stabil, und der Grund dafür ist, dass die Audits an verschiedenen Tagen unterschiedliche Fragen beantworteten.

Kois 341 ist eine Zählung von Live-Einträgen zum Zeitpunkt seines Scans: 341 bösartige Einträge von 2.857 untersuchten Skills, 335 davon aus einer einzigen Kampagne. Die Zahlen von OpenSourceMalware beschreiben eine Veröffentlichungswelle statt einer Marktplatz-Momentaufnahme – 28 bösartige Skills, veröffentlicht zwischen dem 27. und 29. Januar, dann 386 weitere zwischen dem 31. Januar und 2. Februar, verteilt auf sieben Publisher-Konten, wobei 354 der zweiten Charge von einem einzigen Konto stammten, hightower6eu. Die 1.184 von Antiy CERT sind eine Zählung der Historie: bösartige Pakete, die es Stand 5. Februar im Repository von ClawHub identifizierte, 12 Autor-IDs zugeordnet, mit hightower6eu bei 677 und sakaen736jih bei 390. Antiy hielt außerdem fest, dass 60 Pakete eines Uploaders, moonshine-100rze, zum Zeitpunkt der Veröffentlichung noch zugänglich waren und 14.285 Downloads angesammelt hatten, und dass die Plattform nach den umfangreichen Entfernungen 3.498 Skills enthielt.

Dann gibt es 824. Die Aufzeichnung des Archivs vermerkt die Zahl als spätere Revision, aber sie lässt sich nicht auf eine datierte Primärveröffentlichung zurückführen, so wie die anderen Zahlen auf Koi, OpenSourceMalware und Antiy zurückgehen. Sie taucht in späterer Drittanbieter-Kommentierung auf – zum Beispiel in einem Hacker-News-Beitrag vom März 2026 von dem Autor eines Skill-Scanners, der „824 bösartige Skills (20 % von ClawHub)“ beschreibt, ohne das dahinterstehende Audit zu nennen. Auch die Arithmetik dort geht nicht mit den anderen veröffentlichten Zahlen auf: 824 ist etwas weniger als 29 Prozent von 2.857, sodass die „20 Prozent“ wieder einen anderen, nicht genannten Nenner implizieren. Behandle sie als eine Zahl im Umlauf und nicht als eine Zahl mit veröffentlichter Methodik. Dieselbe Vorsicht gilt für die „1.200+“-Varianten, die in späteren Berichten auftauchen.

Nichts davon ist falsch, vielmehr sind sie nicht vergleichbar: Einträge zu einem einzigen Zeitpunkt, Veröffentlichungen über einen Zeitraum hinweg und die gesamte Historie eines Repositorys sind drei verschiedene Bezugsgrößen, und eine Typosquat-Variante kann ein einzelner Eintrag oder mehrere sein, je nachdem, wie der Zähler sie gruppiert hat.

Was hat OpenClaw geändert?

Zwei Dinge, beide in der Woche nach Kois Offenlegung.

Das erste war eine Nutzermeldung. Hacker News berichtete, dass OpenClaws Schöpfer Peter Steinberger eine Funktion ausgeliefert hat, mit der angemeldete Nutzer eine Skill melden können; in der Dokumentation heißt es, dass jeder Nutzer bis zu 20 aktive Meldungen halten darf und dass „Skills mit mehr als 3 eindeutigen Meldungen standardmäßig automatisch ausgeblendet werden“. Das ist ein Triage-Mechanismus, kein Scanner, und er hängt davon ab, dass jemand zuerst etwas bemerkt.

Das zweite war die VirusTotal-Partnerschaft, die OpenClaw am 7. Februar 2026 bekannt gab. Wie in OpenClaws eigenem Beitrag beschrieben: Jedes Skill-Bundle wird deterministisch in eine ZIP-Datei mit konsistenter Kompression und konsistenten Zeitstempeln verpackt, zusammen mit einer _meta.json, die Herausgeber- und Versionsdaten enthält; ein SHA-256-Hash wird erzeugt; der Hash wird mit VirusTotals Threat Intelligence abgeglichen, und falls kein Urteil vorliegt, wird das Bundle über VirusTotals v3-API hochgeladen. VirusTotals Code Insight – eine LLM-gesteuerte Prüfung, die laut OpenClaws Beitrag „von Gemini unterstützt“ wird – liest das gesamte Paket beginnend mit SKILL.md. Urteile bestimmen die Maßnahmen: Unbedenkliche Skills werden automatisch genehmigt, verdächtige erhalten eine Warnung, bleiben aber sichtbar, bösartige werden vom Download ausgeschlossen. Alle aktiven Skills werden täglich erneut gescannt, und vermutete Fehlalarme gehen an [email protected].

OpenClaw äußerte sich im selben Beitrag ausdrücklich zu den Grenzen, nannte die Integration „kein Allheilmittel“ und warnte, dass „ein sauberer Scan nicht bedeutet, dass ein Skill sicher ist“, da natürliche Sprachmanipulation und Prompt-Injection möglicherweise nicht durch Signaturen oder eine Bedrohungsdatenbank erfasst werden. Die Bewertung von Antiy CERT weist von außen in dieselbe Richtung: Sie bezeichnet die Meldefunktion als notwendig, aber bei Weitem nicht ausreichend, und argumentiert, dass Verteidigung im Store-Maßstab statische Analyse, Code- und Semantikanalyse, Sandbox-Ausführung und ein dahinterstehendes Reaktionsteam erfordert.

Was gilt als gesichert und was nicht

Zunächst ein Hinweis zur Quellenlage, denn er ist für alles oben Gesagte wichtig. Kois ursprünglicher Beitrag ist unter seiner veröffentlichten Adresse nicht mehr erreichbar. Die vom Archiv zitierte koi.ai-URL leitet inzwischen auf eine Produktseite von Palo Alto Networks Cortex um – nach der Übernahme von Koi durch Palo Alto Networks, die das Unternehmen am 14. April 2026 als abgeschlossen bekannt gab. Die hier genannten Zahlen und Zitate von Koi stammen daher aus Publikationen, die den Bericht gelesen haben, als er noch online war – The Hacker News am 2. Februar, eSecurity Planet am 3. Februar, Gadget Review am 11. Februar – sowie von Antiy CERT, das den Koi-Bericht in seiner eigenen Februar-Analyse direkt zitiert. Kois Beitrag selbst konnte für diesen Artikel nicht gelesen werden.

Festgestellt: dass Koi 2.857 Skills geprüft und 341 als bösartig gemeldet hat, 335 davon eine Kampagne; der Mechanismus der Voraussetzungs-Köder auf beiden Betriebssystemen; die Command-and-Control-Adresse 91.92.242[.]30; die Ausreißer bei Reverse-Shell und .env-Exfiltration; die Meldefunktion; und die VirusTotal-Integration mit der oben beschriebenen Pipeline. Am tatsächlichen Schaden besteht kein Zweifel — Antiy verzeichnete 14.285 Downloads über 60 noch zugängliche Pakete von einem einzigen Uploader, und OpenSourceMalware bezifferte die Gesamtzahl eines Publishers auf fast 7.000 Downloads — und die Daten, auf die es die Payloads abgesehen hatten, sind genau die Daten, die ein Agent-Host bündelt: Wallet-Schlüssel, Exchange-API-Schlüssel, SSH-Schlüssel, Cloud-Token, Browser-Passwörter.

Abweichend: die Anzahl, aus den im obigen Abschnitt genannten Gründen, und die Bezeichnung der Malware-Familie.

Nicht geklärt – zumindest in nichts Veröffentlichtem, das dieser Artikel lesen konnte – ist: wie viele Menschen tatsächlich einen bösartigen Skill installiert haben, wie viele Zugangsdaten gestohlen wurden oder ob eines der gestohlenen Gelder oder Schlüssel zurückverfolgt werden konnte. Antiy sagt, bösartige Skills seien „tausende Male heruntergeladen worden und hätten Nutzer von Windows und macOS infiziert“ – das ist eine Einschätzung der Exposition, keine Opferzahl, und kein Herausgeber hat eine solche vorgelegt. Ob alle 341 Einträge zum Zeitpunkt von Kois Veröffentlichung live waren, wird ebenfalls nicht angegeben.

Die bleibende Tatsache ist die Form des Versagens, nicht die Rechnung. Ein Marktplatz, auf dem jeder veröffentlichen konnte, in einem Ökosystem, in dem das Installieren eines Pakets bedeutet, ihm die Anmeldedaten des Agenten zu übergeben, brachte eine Kampagne hervor, deren gesamter Exploit aus einer README bestand, die den Nutzer aufforderte, etwas auszuführen — und die erste automatisierte Verteidigung kam sechs Tage später und richtete sich auf Signaturen und Modellprüfung statt auf das Vertrauensmodell, das den Köder wirksam machte.