Los infostealers empiezan a recolectar configuraciones de OpenClaw y tokens de gateway

En febrero de 2026, un stealer de información de uso común extrajo el entorno de configuración de un agente OpenClaw de una máquina infectada: el archivo JSON que contiene el token de gateway del agente, el archivo JSON que contiene su clave de firma del dispositivo y los archivos Markdown que definen su persona y su memoria. Hudson Rock, la firma de inteligencia de amenazas que publicó el hallazgo, lo calificó como un hito en el comportamiento de los stealers y describió un cambio de las credenciales de navegador a las identidades de los agentes de IA personales; BleepingComputer informó de la afirmación de la firma de que esta era la primera instancia de su tipo en el mundo real, y The Hacker News también lo informó ese mes. El stealer no fue creado para OpenClaw. El relato de Hudson Rock indica que una rutina amplia de recolección de archivos rastreó extensiones y nombres de directorio sensibles, como .openclaw, y se llevó la carpeta de forma incidental, por lo que la firma describe el malware como si hubiera encontrado una mina de oro en lugar de haber cazado al agente. El archivo cataloga el episodio como un incidente de credenciales de gravedad alta con confianza B, disputado: falso, con daños reales registrados, y el Orca AI Incident Archive conserva este registro junto a sus entradas vecinas de OpenClaw, cada una calificada según su propia evidencia.

Tres archivos, y lo que desbloquea cada uno

OpenClaw, anteriormente Clawdbot y Moltbot, es un agente de IA personal autoalojado que mantiene estado persistente en archivos en la propia máquina del usuario. El informe de Hudson Rock, resumido por The Hacker News y por BleepingComputer, enumera tres elementos tomados del directorio de OpenClaw de la víctima. openclaw.json contenía una dirección de Gmail parcialmente ocultada, la ruta del espacio de trabajo y un token de puerta de enlace de alta entropía almacenado en gateway.auth.token. La nota técnica de Hudson Rock dice que ese token permitiría a un atacante conectarse remotamente a la instancia local de OpenClaw de la víctima si el puerto está expuesto, o hacerse pasar por el cliente en solicitudes autenticadas a la puerta de enlace de IA.

device.json contenía la publicKeyPem y la privateKeyPem del dispositivo del usuario, el par de claves que OpenClaw utiliza para el emparejamiento y para las operaciones de firma. Con la mitad privada, Hudson Rock afirma que un atacante puede firmar mensajes como si fuera el dispositivo de la víctima, eludiendo potencialmente las comprobaciones de «Safe Device» y llegando a registros cifrados o a servicios en la nube emparejados con ese dispositivo. soul.md, junto con los archivos de memoria AGENTS.md y MEMORY.md, contenía los principios operativos, las directrices de comportamiento y los límites éticos del agente y, según la descripción de la empresa, probablemente contenía registros diarios de la actividad del usuario, mensajes privados y eventos de calendario —lo que denomina un plano de la vida del usuario.

Un detalle del informe del proveedor merece separarse del resto. Hudson Rock pasó los archivos robados por su propio sistema de IA, Enki, para una evaluación automatizada de riesgos, y su resumen de esa salida es que los tokens, las claves y el contexto personal, en conjunto, equivalen a un compromiso total de la identidad digital del usuario. Eso es un modelo de riesgo aplicado a los archivos. No es un registro de nada que un atacante haya hecho con ellos.

El mecanismo era un cajón de sastre, no un elemento de una lista de verificación.

El resumen de una línea del archivo dice que las credenciales de agentes han «entrado formalmente en la lista de verificación estándar de los infostealers». El documento que hay debajo dice algo más limitado. Hudson Rock es explícito en que no se involucró ningún módulo específico de OpenClaw: el malware ejecutó una rutina genérica que recolectaba archivos por extensión y por nombre de directorio, y .openclaw coincidió. Alon Gal, cofundador y CTO de Hudson Rock, declaró a BleepingComputer que la rutina escaneaba archivos y directorios en busca de palabras clave como "token" y "private key".

El módulo dedicado es una previsión, no una observación. Hudson Rock escribe que, a medida que agentes como OpenClaw se integran más en los flujos de trabajo profesionales, es probable que los desarrolladores de stealers publiquen módulos diseñados específicamente para descifrar y analizar estos archivos, tal como hacen hoy con Chrome o Telegram. El 26 de enero de 2026, la misma firma había publicado una entrada titulada ClawdBot: el nuevo objetivo principal de los infostealers en la era de la IA, en la que sostenía que el agente guarda memorias, perfiles y tokens de autenticación en Markdown y JSON en texto plano que a menudo puede leer cualquier proceso que se ejecute como el usuario. El caso de febrero es la primera vez que informó que esa predicción se materializaba en una máquina real.

La distinción no es académica. Un barrido incidental significa que la exposición es una propiedad de dónde guarda sus secretos el agente, no de que los atacantes hayan decidido cazar OpenClaw. Si llegan los analizadores, los mismos archivos pasan a ser legibles a escala en lugar de meramente recolectables, y la pregunta defensiva pasa de los permisos de directorio a qué pueden seguir alcanzando un token de puerta de enlace y una clave de dispositivo una vez que han desaparecido.

Una máquina, un proveedor y una larga estela de repetición.

La publicación de Hudson Rock describe una víctima, en singular, y publica capturas de pantalla del árbol de directorios de una máquina infectada. No dice de cuántas máquinas provenía la muestra, y ninguna de la cobertura consultada para este artículo añade un segundo caso. Bill Toulas, de BleepingComputer, habló directamente con Gal y aporta un detalle que la publicación de Hudson Rock no incluye —la atribución a Vidar y el escaneo basado en palabras clave—, pero la observación subyacente sigue siendo una única infección, vista por un único proveedor. Infosecurity Magazine y SecurityAffairs repitieron el mismo hallazgo en el plazo de un día desde la publicación de Hudson Rock, y ThaiCERT lo repitió en un aviso el 25 de febrero de 2026. Que un CERT nacional repita el informe de un proveedor es amplificación, no confirmación independiente.

Eso es lo que registra la confianza B del archivo: documentado, pero a partir de una única fuente o de una fuente secundaria. El registro también está fechado en febrero de 2026 con precisión de mes; el relato de BleepingComputer fecha el robo con más precisión, pero el archivo solo conserva el mes, y este artículo se atiene a la precisión del archivo. Nada de lo leído para este artículo contradice el relato de Hudson Rock, y el registro está marcado como no disputado. La salvedad no es una contradicción. Es que el encuadre del hito —el primer caso real, el paso de las credenciales del navegador a las identidades de agente— es una caracterización de la empresa que encontró la muestra, y no existe una línea base pública con la que se pueda comprobar «primero».

No se asignó ningún CVE. Ningún aviso de seguridad de OpenClaw que aborde este robo aparece en las fuentes consultadas para este artículo, y ningún regulador ha publicado un hallazgo propio al respecto — el único documento de ámbito gubernamental localizado es el aviso de ThaiCERT, que reitera el informe de Hudson Rock. A diferencia de un fallo de software, este incidente no tiene ningún parche al que señalar, porque los archivos no estaban haciendo nada que el software considerara incorrecto. Estaban en texto plano en el disco, junto al agente.

Lo que el registro no establece

• Ninguna fuente consultada para este artículo muestra el uso de un token de puerta de enlace o una clave de dispositivo robados. Los daños señalados por Hudson Rock son condicionales en todo momento —"si el puerto está expuesto", "potencialmente eludiendo"— y la cobertura que los repite no añade una intrusión demostrada.

• La empresa que realizó la atribución a Vidar la matiza. Gal describió la muestra como probablemente una variante de Vidar, un stealer disponible comercialmente y activo desde finales de 2018, según los detalles de la infección; no aparece ningún hash publicado, análisis de la muestra ni comparación de familias en las fuentes consultadas aquí.

• Se desconoce el número de usuarios afectados. Hudson Rock informó de una víctima y no proporcionó un recuento de máquinas adicionales, y no se localizó ningún reporte posterior para este artículo que lo proporcionara.

• Que el material robado haya sido comercializado, vendido o indexado por algún servicio criminal no lo establece ninguna fuente consultada aquí.

• El verdadero daño que señala el registro es la exfiltración en sí: las credenciales y claves de una máquina real salieron de la máquina. Ese es un umbral más bajo que una toma de control, y el registro no afirma que se produjera una toma de control.

Lo que ya había cambiado y lo que no cubría

OpenClaw anunció una asociación con VirusTotal el 7 de febrero de 2026, antes de que Hudson Rock publicara su relato. El acuerdo escanea cada skill subida a ClawHub —la empaqueta, calcula su hash, comprueba el hash contra VirusTotal y ejecuta el análisis Code Insight de VirusTotal sobre cualquier cosa no vista— y el proyecto lo combinó con un modelo de amenazas y una auditoría de posibles configuraciones incorrectas. Aborda el marketplace. No cifra openclaw.json en el disco del usuario y no hace nada contra el malware que ya se está ejecutando en el endpoint y leyendo el directorio home, que es el vector en este registro.

Lo más parecido a una guía orientada a este fallo es de carácter consultivo, no técnico. La nota del 25 de febrero de 2026 de ThaiCERT repite el hallazgo de Hudson Rock y recomienda ejecutar agentes en máquinas virtuales o contenedores aislados (sandbox) bajo el principio de menor privilegio, evitar el acceso directo a datos sensibles, verificar el origen de cada skill instalada, monitorear los registros de actividad y preparar un plan de respuesta a incidentes que incluya restablecimientos completos del sistema y rotación de credenciales. El propio relato público de OpenClaw sobre su trabajo de seguridad, publicado en abril de 2026, afirma que los secretos pasaron de «por favor, tenga cuidado» a referencias, de modo que las credenciales no queden en prompts, registros, transcripciones ni en el estado del agente; la misma dirección, aunque esa publicación no aborda los archivos de configuración que documentó Hudson Rock.

Lo que hay que observar es si aparecen parsers dedicados. La previsión de Hudson Rock es que aparecerán, y su publicación de enero es la razón para tomarse la previsión en serio, en lugar de que la muestra de febrero sea la prueba de ello. Hasta entonces, el registro se mantiene como un único robo bien documentado: estado del agente en texto plano, tomado por un stealer que no lo estaba buscando, con el daño evaluado por el proveedor en lugar de observado en el entorno real.