ClawHavoc: 341 habilidades maliciosas de ClawHub y un recuento que no dejaba de cambiar

El 1 de febrero de 2026, la empresa de seguridad Koi Security publicó una auditoría de ClawHub, el mercado de habilidades vinculado al agente de IA de código abierto OpenClaw: de las 2.857 habilidades listadas allí, informó que 341 eran maliciosas, y 335 de ellas se remontaban a una única operación coordinada que denominó ClawHavoc. Eso es poco menos del 12 % del mercado. La carga útil principal era Atomic Stealer, conocido como AMOS, un infostealer genérico de macOS que, según The Hacker News, se alquila por entre 500 y 1.000 dólares al mes aproximadamente, y llegó a través del paso que los usuarios están más condicionados a realizar sin pensar: una sección de "Requisitos previos" que les indicaba instalar una cosa más primero. A los usuarios de Windows se les dirigió a un ZIP protegido con contraseña en GitHub; a los de macOS, a un comando de shell alojado en glot.io, con la indicación de pegarlo en Terminal. La propia entrada del archivo para la campaña, con sus calificaciones de gravedad y confianza, se encuentra en el Orca AI Incident Archive junto a los demás incidentes de la cadena de suministro registrados esa semana.

Lo que Koi realmente miró

ClawHub es un mercado comunitario que acompaña a OpenClaw, un asistente de IA autoalojado anteriormente conocido como Clawdbot y Moltbot. Las habilidades son el mecanismo de extensión: instrucciones empaquetadas junto con scripts que enseñan al agente a hacer algo específico — leer una cartera de Solana, resumir un vídeo de YouTube, seguir precios en Polymarket. Instalar una implica otorgarle el mismo alcance que tiene el agente.

Koi realizó su auditoría con un bot de OpenClaw propio, llamado Alex, según el informe de The Hacker News del 2 de febrero. El investigador citado en ese informe, Oren Yomtov, describió el señuelo en términos sencillos: «Instalas lo que parece una habilidad legítima —quizá solana-wallet-tracker o youtube-summarize-pro—. La documentación de la habilidad parece profesional. Pero hay una sección de "Requisitos previos" que dice que primero debes instalar algo».

La razón por la que existía un mercado que envenenar era que ClawHub estaba abierto por defecto. The Hacker News informó que cualquiera podía subir contenido, y la única restricción en ese momento era que la cuenta de GitHub del publicador tuviera al menos una semana de antigüedad. El propio informe de Koi describía la plataforma como carente de «prácticamente ningún mecanismo de revisión de seguridad», una frase que Antiy CERT cita en su propio análisis.

Cómo llegó la carga útil

La entrega variaba según el sistema operativo, pero la forma era la misma: la habilidad en sí es en gran medida inofensiva, y el daño está en las instrucciones de instalación.

• En Windows, la documentación enlazaba a un release de GitHub que contenía un ZIP protegido con contraseña. Dentro había un troyano con capacidad de keylogging dirigido a claves de API, credenciales y cualquier otra cosa a la que el bot de esa máquina ya pudiera acceder — lo que, en un host de agente, es muchísimo. El informe de Antiy CERT dice que los archivos normalmente llevaban una de tres contraseñas (1202, openclaw o 1234) y señala el objetivo del cifrado: hace que el archivo pase el escaneo propio de GitHub y el escaneo en tiempo real en la máquina de la víctima.

• En macOS, la documentación indicaba a los usuarios que copiaran un script alojado en glot[.]io y lo pegaran en Terminal. El script ejecutaba comandos de shell ofuscados, contactaba con 91.92.242[.]30 para obtener un segundo script, y ese script descargaba un binario Mach-O universal: una única compilación tanto para Intel como para Apple Silicon.

Koi evaluó que ese binario presentaba rasgos compatibles con AMOS. OpenSourceMalware, la organización de investigación dirigida por Paul McCarty, informó de la misma campaña ese mismo día y evaluó su propia muestra de manera algo distinta: probablemente una nueva cepa de NovaStealer. Los dos informes coinciden en la infraestructura, el señuelo y los datos objetivo —claves de API de exchanges, archivos de monederos, datos de extensiones del navegador, incluida MetaMask, frases semilla, el Llavero de macOS, contraseñas guardadas del navegador, claves SSH, credenciales de la nube y de Git, .env archivos — pero no, precisamente, en la etiqueta de la familia. Ambas atribuciones son de los propios investigadores.

No todas las habilidades maliciosas eran un señuelo de requisito previo de ClawHavoc. Koi informó de habilidades —incluidas better-polymarket y polymarket-all-in-one— que ocultaban puertas traseras de shell inversa dentro de código que por lo demás funcionaba, así que el compromiso se producía durante el uso normal y no durante la instalación. Otra, rankaj, enviaba credenciales de bot almacenadas en ~/.clawdbot/.env a un punto de conexión de webhook[.]site. Los nombres estaban creados para leerse mal a toda velocidad: clawhubb, cllawhub, clawwhub, clawhubcli, junto con imitaciones de cripto, YouTube, autoactualizador y Google Workspace.

Antiy CERT añade un detalle que merece señalarse como su valoración más que como un hallazgo: afirma que la documentación de respaldo sobre estas habilidades ocupa entre 500 y 700 líneas y que "probablemente también fue generada por IA". Se trata de una inferencia basada en la longitud y la coherencia de los documentos, no algo que el informe demuestre.

El recuento no es un solo número.

La cifra que persigue a ClawHavoc no es estable, y la razón es que las auditorías respondían a preguntas diferentes en días diferentes.

El 341 de Koi es un recuento de anuncios activos en el momento de su barrido: 341 entradas maliciosas de 2,857 habilidades examinadas, 335 de ellas de una sola campaña. Las cifras de OpenSourceMalware describen una ola de publicación más que una instantánea del mercado: 28 habilidades maliciosas publicadas entre el 27 y el 29 de enero, y luego 386 más entre el 31 de enero y el 2 de febrero, atribuidas a siete cuentas de publicadores, con 354 del segundo lote procedentes de una sola cuenta, hightower6eu. El 1,184 de Antiy CERT es un recuento de historial: paquetes maliciosos que identificó en el repositorio de ClawHub hasta el 5 de febrero, atribuidos a 12 ID de autor, con hightower6eu en 677 y sakaen736jih en 390. Antiy también registró que 60 paquetes de un único usuario que los subió, moonshine-100rze, seguían accesibles en el momento de la publicación y habían acumulado 14,285 descargas, y que la plataforma albergaba 3,498 habilidades una vez realizadas las eliminaciones a gran escala.

Luego está 824. El registro del archivo señala la cifra como una revisión posterior, pero no se remonta a una publicación primaria fechada como sí lo hacen las otras cifras con Koi, OpenSourceMalware y Antiy. Donde aparece es en comentarios posteriores de terceros; por ejemplo, en una publicación de marzo de 2026 en Hacker News del autor de un escáner de habilidades, que describe «824 habilidades maliciosas (20% de ClawHub)» sin nombrar la auditoría que la respalda. Además, la aritmética no cuadra con las otras cifras publicadas: 824 es un poco menos del 29 por ciento de 2.857, así que el «20 por ciento» implica de nuevo un denominador distinto, no especificado. Trátala como una cifra en circulación y no como una cifra con una metodología publicada. La misma cautela se aplica a las variantes «1.200+» que aparecen en textos posteriores.

Ninguno de estos es tanto incorrecto como no comparable: los listados en un momento dado, las publicaciones a lo largo de una ventana y todo el historial de un repositorio son tres denominadores diferentes, y una variante de typosquat puede ser una entrada o varias según cómo las agrupó el contador.

¿Qué cambió OpenClaw?

Dos cosas, ambas dentro de la semana posterior a la revelación de Koi.

El primero fue el reporte de usuarios. Hacker News informó que el creador de OpenClaw, Peter Steinberger, lanzó una función que permite a los usuarios con sesión iniciada marcar una skill, con documentación que indica que cada usuario puede tener hasta 20 reportes activos y que «las skills con más de 3 reportes únicos se ocultan automáticamente de forma predeterminada». Eso es un mecanismo de triaje, no un escáner, y depende de que alguien lo detecte primero.

El segundo fue la asociación con VirusTotal, anunciada por OpenClaw el 7 de febrero de 2026. Como se describe en la propia publicación de OpenClaw: cada paquete de habilidades se empaqueta de forma determinista en un ZIP con compresión y marcas de tiempo coherentes, además de un _meta.json que contiene datos del editor y de la versión; se genera un hash SHA-256; el hash se compara con la inteligencia de amenazas de VirusTotal y, si no existe un veredicto, el paquete se carga mediante la API v3 de VirusTotal. Code Insight de VirusTotal —una revisión impulsada por LLM que, según la publicación de OpenClaw, está "impulsada por Gemini"— lee todo el paquete comenzando por SKILL.md. Los veredictos determinan las acciones: las habilidades benignas se aprueban automáticamente, las sospechosas llevan una advertencia pero siguen visibles, y las maliciosas se bloquean para su descarga. Todas las habilidades activas se vuelven a escanear a diario, y los falsos positivos sospechosos se envían a [email protected].

OpenClaw fue explícito sobre los límites en la misma publicación, y calificó la integración como «no una solución milagrosa» y advirtió que «un escaneo limpio no significa que una skill sea segura», porque la manipulación mediante lenguaje natural y la inyección de prompts pueden no ser detectadas por firmas ni por una base de datos de amenazas. La evaluación de Antiy CERT apunta en la misma dirección desde fuera: considera que la función de reporte es necesaria pero dista mucho de ser suficiente, y sostiene que la defensa a escala de tienda necesita análisis estático, análisis de código y semántico, ejecución en sandbox y un equipo de respuesta detrás de ellos.

Qué está establecido y qué no

Una nota sobre las fuentes primero, porque es importante para todo lo anterior. El post original de Koi ya no está disponible en su dirección publicada. La URL de koi.ai citada por el archivo ahora redirige a una página de producto de Palo Alto Networks Cortex, tras la adquisición de Koi por parte de Palo Alto Networks, que la empresa anunció como completada el 14 de abril de 2026. Por lo tanto, las cifras y citas de Koi que aparecen aquí provienen de medios que leyeron el informe mientras estaba disponible —The Hacker News el 2 de febrero, eSecurity Planet el 3 de febrero, Gadget Review el 11 de febrero— y de Antiy CERT, que cita directamente el informe de Koi en su propio análisis de febrero. El propio post de Koi no pudo leerse para este artículo.

Queda establecido: que Koi auditó 2.857 habilidades y reportó 341 maliciosas, 335 de ellas de una misma campaña; el mecanismo de señuelo basado en requisitos previos en ambos sistemas operativos; la dirección de mando y control 91.92.242[.]30; los valores atípicos de reverse shell y de exfiltración de .env; la función de reporte; y la integración con VirusTotal junto con el pipeline descrito anteriormente. No cabe duda de que el daño es real —Antiy registró 14.285 descargas en 60 paquetes todavía accesibles de un único usuario que las subió, y OpenSourceMalware situó el total de un publicador en casi 7.000 descargas— y los datos que buscaban los payloads son exactamente los que concentra un host de agente: claves de cartera, claves de API de exchanges, claves SSH, tokens de nube y contraseñas del navegador.

Divergente: el recuento, por las razones de la sección anterior, y la etiqueta de la familia de malware.

No está establecido, al menos en nada de lo publicado que este artículo haya podido consultar: cuántas personas instalaron realmente una skill maliciosa, cuántas credenciales se robaron o si se ha rastreado alguno de los fondos o claves robados. Antiy afirma que las skills maliciosas "se habían descargado miles de veces, infectando a usuarios de Windows y macOS"; eso es una evaluación de la exposición, no un recuento de víctimas, y ningún editor ha producido uno. Tampoco se indica si las 341 publicaciones estaban activas en el momento en que Koi publicó.

El hecho duradero es la forma del fallo más que la aritmética. Un marketplace en el que cualquiera podía publicar, en un ecosistema donde instalar un paquete significa entregarle las credenciales del agente, produjo una campaña cuyo exploit consistía enteramente en un README que le decía al usuario que ejecutara algo — y la primera defensa automatizada llegó seis días después, dirigida a firmas y revisión de modelos en lugar del modelo de confianza que hizo funcionar el señuelo.