Infostealer beginnen mit dem Abgreifen von OpenClaw-Konfigurationen und Gateway-Tokens

Im Februar 2026 entwendete ein Commodity-Informationsstealer die Konfigurationsumgebung eines OpenClaw-Agenten von einer infizierten Maschine: die JSON-Datei mit dem Gateway-Token des Agenten, die JSON-Datei mit seinem Gerätesignaturschlüssel und die Markdown-Dateien, die seine Persona und sein Gedächtnis definieren. Hudson Rock, das Threat-Intelligence-Unternehmen, das den Fund veröffentlichte, nannte ihn einen Meilenstein im Verhalten von Stealern und beschrieb damit eine Verschiebung von Browser-Anmeldedaten hin zu den Identitäten persönlicher KI-Agenten; BleepingComputer berichtete über die Behauptung des Unternehmens, dies sei der erste derartige Fall in freier Wildbahn, und The Hacker News berichtete in jenem Monat ebenfalls darüber. Der Stealer wurde nicht für OpenClaw entwickelt. Hudson Rocks Bericht zufolge durchsuchte eine breit angelegte Datei-Abgreifroutine sensible Erweiterungen und Verzeichnisnamen wie .openclaw und nahm den Ordner beiläufig mit, weshalb das Unternehmen die Malware so beschreibt, dass sie eher zufällig einen Volltreffer gelandet habe, statt gezielt auf den Agenten Jagd gemacht zu haben. Das Archiv verbucht den Vorfall als Credential-Vorfall mit hohem Schweregrad bei Konfidenz B, nicht bestritten, mit dokumentiertem tatsächlichem Schaden, und das Orca AI Incident Archive führt diesen Eintrag neben seinen benachbarten OpenClaw-Einträgen, die jeweils anhand ihrer eigenen Belege bewertet werden.

Drei Dateien – und was jede einzelne freischaltet

OpenClaw, früher Clawdbot und Moltbot, ist ein selbst gehosteter persönlicher KI-Agent, der persistenten Zustand in Dateien auf dem Rechner des Nutzers speichert. Der Bericht von Hudson Rock, zusammengefasst von The Hacker News und BleepingComputer, nennt drei Dinge, die aus dem OpenClaw-Verzeichnis des Opfers entnommen wurden. openclaw.json enthielt eine teilweise geschwärzte Gmail-Adresse, den Workspace-Pfad und ein Gateway-Token mit hoher Entropie, das unter gateway.auth.token gespeichert war. In der technischen Notiz von Hudson Rock heißt es, dieses Token würde es einem Angreifer ermöglichen, sich aus der Ferne mit der lokalen OpenClaw-Instanz des Opfers zu verbinden, wenn der Port exponiert ist, oder sich bei authentifizierten Anfragen an das KI-Gateway als Client auszugeben.

device.json enthielt die publicKeyPem und privateKeyPem des Geräts des Nutzers, das Schlüsselpaar, das OpenClaw für die Kopplung und für Signaturvorgänge verwendet. Mit der privaten Hälfte kann ein Angreifer laut Hudson Rock Nachrichten als das Gerät des Opfers signieren, möglicherweise die „Safe Device“-Prüfungen umgehen und verschlüsselte Logs oder mit diesem Gerät gekoppelte Cloud-Dienste erreichen. soul.md enthielt zusammen mit den Speicherdateien AGENTS.md und MEMORY.md die Betriebsprinzipien, Verhaltensrichtlinien und ethischen Grenzen des Agenten und laut der Beschreibung des Unternehmens wahrscheinlich tägliche Protokolle der Aktivitäten des Nutzers, private Nachrichten und Kalendertermine – was es als Blaupause des Lebens des Nutzers bezeichnet.

Ein Detail in der Darstellung des Anbieters sollte man vom Rest trennen. Hudson Rock hat die gestohlenen Dateien durch sein eigenes KI-System Enki laufen lassen, um eine automatisierte Risikobewertung vorzunehmen, und die Zusammenfassung dieses Ergebnisses lautet, dass Tokens, Schlüssel und persönlicher Kontext zusammen einer vollständigen Kompromittierung der digitalen Identität des Nutzers gleichkommen. Das ist ein Risikomodell, das auf die Dateien angewendet wurde. Es ist keine Aufzeichnung darüber, was ein Angreifer mit ihnen gemacht hat.

Der Mechanismus war ein Sammelsurium, kein Eintrag auf einer Checkliste.

Die Einzeiler-Zusammenfassung des Archivs besagt, dass Agent-Zugangsdaten „offiziell in die Standard-Checkliste für Infostealer aufgenommen“ wurden. Das darunterliegende Dokument formuliert es enger. Hudson Rock stellt ausdrücklich klar, dass kein OpenClaw-spezifisches Modul beteiligt war: Die Malware führte eine generische Routine aus, die Dateien nach Endung und Verzeichnisnamen sammelte, und .openclaw passte. Alon Gal, Mitgründer und CTO von Hudson Rock, sagte gegenüber BleepingComputer, die Routine habe nach Dateien und Verzeichnissen gesucht, die Schlüsselwörter wie „token“ und „private key“ enthielten.

Das dedizierte Modul ist eine Prognose, keine Beobachtung. Hudson Rock schreibt, dass Stealer-Entwickler, sobald Agenten wie OpenClaw stärker in professionelle Workflows integriert werden, wahrscheinlich Module veröffentlichen werden, die speziell dafür entwickelt sind, diese Dateien zu entschlüsseln und zu parsen – ganz ähnlich wie sie es heute für Chrome oder Telegram tun. Am 26. Januar 2026 hatte dieselbe Firma einen Beitrag mit dem Titel „ClawdBot: The New Primary Target for Infostealers in the AI Era“ veröffentlicht, in dem sie argumentierte, dass der Agent Erinnerungen, Profile und Authentifizierungstoken in Klartext-Markdown und -JSON speichert, die oft von jedem Prozess gelesen werden können, der unter dem Benutzer läuft. Der Fall vom Februar ist das erste Mal, dass sie berichtete, dass diese Prognose auf einer realen Maschine eingetreten ist.

Der Unterschied ist nicht rein akademisch. Ein beiläufiges Absuchen bedeutet, dass die Exposition eine Eigenschaft davon ist, wo der Agent seine Geheimnisse aufbewahrt, und nicht davon, dass Angreifer beschlossen haben, OpenClaw zu jagen. Wenn Parser hinzukommen, werden dieselben Dateien im großen Maßstab lesbar statt nur einsammelbar, und die Verteidigungsfrage verschiebt sich von Verzeichnisberechtigungen darauf, was ein Gateway-Token und ein Geräteschlüssel noch erreichen können, sobald sie abhandengekommen sind.

Eine Maschine, ein Anbieter und eine lange Spur der Wiederholung

Hudson Rocks Beitrag beschreibt ein Opfer, im Singular, und veröffentlicht Screenshots des Verzeichnisbaums einer infizierten Maschine. Er sagt nicht, von wie vielen Maschinen die Stichprobe stammt, und keine der für diesen Artikel gelesenen Berichte fügt einen zweiten Fall hinzu. BleepingComputers Bill Toulas sprach direkt mit Gal und bringt Details, die im Hudson-Rock-Beitrag fehlen – die Vidar-Zuordnung und das schlüsselwortbasierte Scannen –, doch die zugrunde liegende Beobachtung ist weiterhin eine einzige Infektion, gesehen von einem einzigen Anbieter. Infosecurity Magazine und SecurityAffairs wiederholten denselben Befund innerhalb eines Tages nach Hudson Rocks Beitrag, und ThaiCERT wiederholte ihn in einer Warnmeldung am 25. Februar 2026. Dass ein nationales CERT einen Anbieterbericht wiederholt, ist Verstärkung, keine unabhängige Bestätigung.

Das ist es, was der Eintrag mit Vertrauensstufe B im Archiv festhält: dokumentiert, aber aus einer einzigen oder einer sekundären Quelle. Der Eintrag ist zudem auf Februar 2026 mit Monatsgenauigkeit datiert; BleepingComputers Bericht datiert den Diebstahl genauer, doch das Archiv enthält nur den Monat, und dieser Artikel bleibt bei der Genauigkeit des Archivs. Nichts, was für diesen Artikel gelesen wurde, widerspricht Hudson Rocks Darstellung, und der Eintrag ist als unbestritten markiert. Der Vorbehalt ist kein Widerspruch. Er besteht darin, dass die Meilenstein-Rahmung – der erste Live-Fall, die Verschiebung von Browser-Anmeldedaten zu Agentenidentitäten – eine Charakterisierung durch das Unternehmen ist, das die Probe fand, und es keine öffentliche Vergleichsbasis gibt, an der sich „erste“ überprüfen ließe.

Es wurde keine CVE vergeben. In den für diesen Artikel gelesenen Quellen findet sich keine OpenClaw-Sicherheitswarnung, die sich mit diesem Diebstahl befasst, und keine Aufsichtsbehörde hat eine eigene Feststellung dazu veröffentlicht – das einzige gefundene regierungsnahe Dokument ist die Warnung von ThaiCERT, die den Bericht von Hudson Rock wiedergibt. Anders als bei einer Software-Schwachstelle gibt es bei diesem Vorfall keinen Patch, auf den man verweisen könnte, weil die Dateien nichts taten, was die Software als falsch behandelte. Sie lagen im Klartext auf der Festplatte, direkt neben dem Agenten.

Was sich aus der Akte nicht ergibt

• Keine der für diesen Artikel gelesenen Quellen zeigt einen gestohlenen Gateway-Token oder Geräteschlüssel im Einsatz. Die von Hudson Rock beschriebenen Schäden sind durchgängig konditional formuliert – „wenn der Port exponiert ist“, „potenziell umgehend“ –, und die Berichterstattung, die sie wiederholt, fügt keine nachgewiesene Intrusion hinzu.

• Die Vidar-Zuordnung wird von der Firma, die sie vorgenommen hat, mit Vorbehalt versehen. Gal beschrieb die Probe als wahrscheinliche Variante von Vidar, einem seit Ende 2018 aktiven Standard-Stealer, basierend auf den Infektionsdetails; in den hier gelesenen Quellen erscheint kein veröffentlichter Hash, keine Probenanalyse und kein Familienvergleich.

• Die Zahl der betroffenen Nutzer ist unbekannt. Hudson Rock meldete ein Opfer und nannte keine Zahl weiterer Rechner, und keine später für diesen Artikel gefundene Berichterstattung lieferte eine.

• Ob das gestohlene Material von einem kriminellen Dienst gehandelt, verkauft oder indexiert wurde, wird durch keine der hier gelesenen Quellen belegt.

• Der eigentliche Schaden, den der Datensatz kennzeichnet, ist die Exfiltration selbst: Die Anmeldedaten und Schlüssel einer echten Maschine haben die Maschine verlassen. Das ist eine niedrigere Schwelle als eine Übernahme, und der Datensatz behauptet keine Übernahme.

Was sich bereits verändert hatte und was es nicht abdeckte

OpenClaw gab am 7. Februar 2026 eine Partnerschaft mit VirusTotal bekannt, bevor Hudson Rock seinen Bericht veröffentlichte. Die Vereinbarung scannt jede auf ClawHub hochgeladene Skill – sie wird gepackt, gehasht, der Hash gegen VirusTotal geprüft und auf alles Unbekannte VirusTotals Code-Insight-Analyse angewendet – und das Projekt verband dies mit einem Bedrohungsmodell und einem Audit auf mögliche Fehlkonfigurationen. Es adressiert den Marktplatz. Es verschlüsselt openclaw.json nicht auf der Festplatte eines Nutzers und unternimmt nichts gegen Malware, die bereits auf dem Endpunkt läuft und das Home-Verzeichnis liest, was der Vektor in diesem Fall ist.

Das, was einer auf dieses Versagen ausgerichteten Anleitung am nächsten kommt, ist eher beratend als technisch. Die ThaiCERT-Mitteilung vom 25. Februar 2026 wiederholt Hudson Rocks Befund und empfiehlt, Agenten in Sandbox-VMs oder -Containern unter geringsten Rechten auszuführen, direkten Zugriff auf sensible Daten zu vermeiden, die Quelle jedes installierten Skills zu überprüfen, Aktivitätsprotokolle zu überwachen und einen Incident-Response-Plan vorzubereiten, der vollständige Systemzurücksetzungen und die Rotation von Anmeldedaten umfasst. OpenClaws eigener öffentlicher Bericht über seine Sicherheitsarbeit, veröffentlicht im April 2026, besagt, dass Secrets von „bitte vorsichtig sein“ hin zu Referenzen verschoben wurden, damit Anmeldedaten nicht in Prompts, Logs, Transkripten oder im Agentenstatus liegen — dieselbe Richtung, obwohl dieser Beitrag die von Hudson Rock dokumentierten Konfigurationsdateien nicht behandelt.

Zu beobachten ist, ob spezialisierte Parser auftauchen. Hudson Rocks Prognose lautet, dass sie es tun werden, und ihr Januar-Beitrag ist der Grund, die Prognose ernst zu nehmen, statt dass die Februar-Stichprobe der Beweis dafür wäre. Bis dahin bleibt der Fall ein einzelner, gut dokumentierter Diebstahl: Klartext-Zustand des Agenten, entwendet von einem Stealer, der nicht gezielt danach suchte, wobei der Schaden vom Anbieter bewertet und nicht in freier Wildbahn beobachtet wurde.