ClawHavoc : 341 compétences malveillantes ClawHub et un décompte qui n’a cessé de bouger

Le 1er février 2026, la société de sécurité Koi Security a publié un audit de ClawHub, la place de marché de compétences attachée à l’agent d’IA open source OpenClaw : sur les 2 857 compétences qui y sont répertoriées, elle en a signalé 341 comme malveillantes, dont 335 rattachées à une seule opération coordonnée qu’elle a nommée ClawHavoc. Cela représente un peu moins de 12 % de la place de marché. La principale charge utile était Atomic Stealer, connu sous le nom d’AMOS, un infostealer macOS courant que The Hacker News indique être loué pour environ 500 à 1 000 dollars par mois, et il est arrivé par l’étape que les utilisateurs sont le plus conditionnés à effectuer sans réfléchir — une section « Prerequisites » leur demandant d’installer d’abord un élément de plus. Les utilisateurs de Windows étaient orientés vers un ZIP protégé par mot de passe sur GitHub ; les utilisateurs de macOS vers une commande shell hébergée sur glot.io et invités à la coller dans Terminal. L’entrée de l’archive elle-même pour la campagne, avec ses niveaux de gravité et de confiance, se trouve dans le Orca AI Incident Archive aux côtés des autres incidents de la chaîne d’approvisionnement enregistrés cette semaine-là.

Ce que Koi a réellement regardé

ClawHub est une place de marché communautaire qui accompagne OpenClaw, un assistant IA auto-hébergé anciennement connu sous le nom de Clawdbot et Moltbot. Les skills constituent le mécanisme d'extension : des instructions empaquetées accompagnées de scripts qui apprennent à l'agent à accomplir une tâche précise — lire un portefeuille Solana, résumer une vidéo YouTube, suivre les prix sur Polymarket. En installer un revient à lui accorder la même portée que celle dont dispose l'agent.

Koi a réalisé son audit avec son propre bot OpenClaw, nommé Alex, selon le rapport de The Hacker News du 2 février. Le chercheur cité dans ce rapport, Oren Yomtov, a décrit l’appât en termes simples : « Vous installez ce qui ressemble à une compétence légitime — peut-être solana-wallet-tracker ou youtube-summarize-pro. La documentation de cette compétence semble professionnelle. Mais il y a une section « Prérequis » qui indique que vous devez d’abord installer quelque chose. »

La raison pour laquelle il y avait un marché à empoisonner, c'est que ClawHub était ouvert par défaut. The Hacker News a rapporté que n'importe qui pouvait téléverser, et la seule restriction à l'époque était que le compte GitHub de l'éditeur devait avoir au moins une semaine. Le propre rapport de Koi décrivait la plateforme comme n'ayant « pratiquement aucun mécanisme de contrôle de sécurité », une phrase qu'Antiy CERT cite dans sa propre analyse.

Comment la charge utile est arrivée

Le mode de livraison variait selon le système d'exploitation, mais la forme restait la même : la compétence elle-même est globalement inoffensive, et le danger réside dans les instructions d'installation.

• Sous Windows, la documentation renvoyait à une release GitHub contenant un ZIP protégé par mot de passe. À l’intérieur se trouvait un trojan doté de capacités de keylogging ciblant les clés API, les identifiants et tout le reste de ce à quoi le bot sur cette machine pouvait déjà accéder — ce qui, sur un hôte d’agent, représente beaucoup. Le rapport d’Antiy CERT indique que les archives contenaient généralement l’un des trois mots de passe (1202, openclaw ou 1234) et souligne l’objectif du chiffrement : faire passer le fichier outre l’analyse de GitHub et l’analyse en temps réel sur la machine de la victime.

• Sur macOS, la documentation demandait aux utilisateurs de copier un script hébergé sur glot[.]io et de le coller dans le Terminal. Le script exécutait des commandes shell obfusquées, contactait 91.92.242[.]30 pour obtenir un second script, et ce script téléchargeait un binaire Mach-O universel — une seule compilation pour Intel et Apple Silicon.

Koi a estimé que ce binaire présentait des caractéristiques compatibles avec AMOS. OpenSourceMalware, l'équipe de recherche dirigée par Paul McCarty, a signalé la même campagne le jour même et a évalué son propre échantillon un peu différemment : probablement une nouvelle souche de NovaStealer. Les deux rapports concordent sur l'infrastructure, le leurre et les données ciblées — clés d'API de plateformes d'échange, fichiers de portefeuilles, données d'extensions de navigateur, dont MetaMask, phrases mnémoniques de récupération, le trousseau macOS, mots de passe de navigateur enregistrés, clés SSH, identifiants cloud et Git, les fichiers .env — mais pas, précisément, sur le nom de la famille. Les deux attributions sont celles des chercheurs eux-mêmes.

Toutes les compétences malveillantes n’étaient pas un leurre servant de prérequis à ClawHavoc. Koi a signalé des compétences — notamment better-polymarket et polymarket-all-in-one — qui dissimulaient des backdoors de reverse shell dans du code par ailleurs fonctionnel, de sorte que la compromission survenait lors d’un usage normal plutôt qu’à l’installation. Une autre, rankaj, a envoyé les identifiants de bot stockés dans ~/.clawdbot/.env vers un point de terminaison webhook[.]site. Les noms étaient conçus pour être mal lus à toute vitesse : clawhubb, cllawhub, clawwhub, clawhubcli, aux côtés de sosies de crypto, YouTube, auto-updater et Google Workspace.

Antiy CERT ajoute un détail qu'il convient de signaler comme son évaluation plutôt que comme un constat : il indique que la documentation d'accompagnement de ces compétences compte 500 à 700 lignes et a « probablement été générée par IA ». Il s'agit là d'une inférence tirée de la longueur et de la cohérence des documents, et non de quelque chose que le rapport démontre.

Le compte n'est pas un seul nombre

Le chiffre qui suit ClawHavoc partout n’est pas stable, et la raison en est que les audits répondaient à des questions différentes selon les jours.

Le 341 de Koi correspond à un décompte de annonces actives au moment de son balayage : 341 entrées malveillantes sur 2 857 compétences examinées, dont 335 relevant d’une seule campagne. Les chiffres d’OpenSourceMalware décrivent une vague de publication plutôt qu’un instantané du marché — 28 compétences malveillantes publiées entre le 27 et le 29 janvier, puis 386 autres entre le 31 janvier et le 2 février, attribuées à sept comptes d’éditeurs, dont 354 du second lot provenant d’un seul compte, hightower6eu. Le 1 184 d’Antiy CERT est un décompte de l’historique : les paquets malveillants qu’il a identifiés dans le dépôt de ClawHub au 5 février, attribués à 12 identifiants d’auteur, avec hightower6eu à 677 et sakaen736jih à 390. Antiy a également consigné que 60 paquets provenant d’un même déposant, moonshine-100rze, étaient encore accessibles au moment de la publication et avaient accumulé 14 285 téléchargements, et que la plateforme comptait 3 498 compétences une fois les suppressions à grande échelle effectuées.

Vient ensuite 824. Le dossier d’archive consigne ce chiffre comme une révision ultérieure, mais il ne remonte pas à une publication primaire datée comme les autres nombres remontent à Koi, OpenSourceMalware et Antiy. On le retrouve dans des commentaires tiers ultérieurs — par exemple un post Hacker News de mars 2026 rédigé par l’auteur d’un scanner de compétences, qui décrit « 824 compétences malveillantes (20 % de ClawHub) » sans nommer l’audit qui le sous-tend. L’arithmétique ne concorde pas non plus avec les autres chiffres publiés : 824 représente un peu moins de 29 % de 2 857, de sorte que « 20 % » implique encore un autre dénominateur, non précisé. À traiter comme un nombre en circulation plutôt que comme un nombre assorti d’une méthodologie publiée. La même prudence s’applique aux variantes « 1 200+ » qui apparaissent dans des articles ultérieurs.

Aucun de ces éléments n’est faux à proprement parler, ils sont simplement non comparables : des inscriptions à un instant donné, des publications sur une période et l’historique complet d’un dépôt constituent trois dénominateurs différents, et une variante de typosquat peut représenter une seule entrée ou plusieurs selon la façon dont le compteur les a regroupées.

Qu’est-ce qu’OpenClaw a changé ?

Deux choses, toutes deux survenues dans la semaine qui a suivi la révélation de Koi.

Le premier était le signalement par les utilisateurs. Hacker News a rapporté que le créateur d’OpenClaw, Peter Steinberger, avait déployé une fonctionnalité permettant aux utilisateurs connectés de signaler une compétence, la documentation indiquant que chaque utilisateur peut avoir jusqu’à 20 signalements actifs et que « les compétences faisant l’objet de plus de 3 signalements distincts sont masquées automatiquement par défaut ». Il s’agit d’un mécanisme de triage, et non d’un scanner, et il dépend de quelqu’un qui remarque le problème en premier.

Le second était le partenariat avec VirusTotal, annoncé par OpenClaw le 7 février 2026. Comme le décrit l'article d'OpenClaw lui-même : chaque bundle de compétences est empaqueté de manière déterministe dans un ZIP avec une compression et des horodatages cohérents, plus un _meta.json contenant les données de l'éditeur et de la version ; un hash SHA-256 est généré ; le hash est comparé au renseignement sur les menaces de VirusTotal, et si aucun verdict n'existe, le bundle est téléversé via l'API v3 de VirusTotal. Code Insight de VirusTotal — une analyse pilotée par LLM que l'article d'OpenClaw dit « propulsée par Gemini » — lit l'intégralité du paquet en commençant par SKILL.md. Les verdicts déterminent l'action : les compétences bénignes sont approuvées automatiquement, les suspectes portent un avertissement mais restent visibles, les malveillantes sont bloquées au téléchargement. Toutes les compétences actives sont réanalysées quotidiennement, et les faux positifs suspectés doivent être signalés à [email protected].

OpenClaw a été explicite quant aux limites dans le même billet, qualifiant l'intégration de « pas une solution miracle » et avertissant qu'« une analyse propre ne signifie pas qu'une compétence est sûre », car la manipulation en langage naturel et l'injection d'invite peuvent ne pas être détectées par des signatures ou une base de données de menaces. L'évaluation d'Antiy CERT va dans le même sens vu de l'extérieur : elle juge la fonction de signalement nécessaire mais loin d'être suffisante, et soutient que la défense à l'échelle d'un magasin d'applications exige une analyse statique, une analyse de code et sémantique, une exécution en bac à sable et une équipe de réponse derrière celles-ci.

Ce qui est établi, et ce qui ne l’est pas

Une note sur les sources, d’abord, car cela compte pour tout ce qui précède. Le billet original de Koi n’est plus accessible à l’adresse où il a été publié. L’URL koi.ai citée par l’archive redirige désormais vers une page produit Cortex de Palo Alto Networks, à la suite de l’acquisition de Koi par Palo Alto Networks, dont la finalisation a été annoncée le 14 avril 2026. Les chiffres et citations de Koi présentés ici proviennent donc de médias qui ont consulté le rapport lorsqu’il était en ligne — The Hacker News le 2 février, eSecurity Planet le 3 février, Gadget Review le 11 février — et d’Antiy CERT, qui cite directement le rapport de Koi dans sa propre analyse de février. Le billet de Koi lui-même n’a pas pu être consulté pour cet article.

Établi : Koi a audité 2 857 skills et en a signalé 341 comme malveillantes, dont 335 relevant d’une même campagne ; le mécanisme de leurre par prérequis sur les deux systèmes d’exploitation ; l’adresse de commande et de contrôle 91.92.242[.]30 ; le reverse shell et .env comme cas aberrants d’exfiltration ; la fonctionnalité de signalement ; et l’intégration de VirusTotal au pipeline décrit ci-dessus. Les dommages réels ne font aucun doute — Antiy a enregistré 14 285 téléchargements sur 60 paquets encore accessibles provenant d’un seul déposant, et OpenSourceMalware a estimé à près de 7 000 téléchargements le total d’un éditeur — et les données que les payloads visaient sont exactement celles qu’un hôte d’agent concentre : clés de portefeuille, clés API d’exchange, clés SSH, jetons cloud, mots de passe de navigateur.

Divergent : le nombre, pour les raisons indiquées dans la section ci-dessus, et le libellé de la famille de logiciels malveillants.

Non établi, du moins dans tout ce qui a été publié et que cet article a pu consulter : combien de personnes ont réellement installé une compétence malveillante, combien d’identifiants ont été volés, ou si des fonds ou des clés volés ont été retracés. Antiy affirme que des compétences malveillantes « avaient été téléchargées des milliers de fois, infectant des utilisateurs de Windows et de macOS » — il s’agit d’une évaluation de l’exposition, non d’un décompte des victimes, et aucun éditeur n’en a produit. On ne précise pas non plus si les 341 annonces étaient toutes en ligne au moment où Koi a publié.

Le fait qui demeure est la forme de la défaillance plutôt que l’arithmétique. Une place de marché où n’importe qui pouvait publier, dans un écosystème où installer un paquet revient à confier ses identifiants à l’agent, a produit une campagne dont tout l’exploit consistait en un README demandant à l’utilisateur d’exécuter quelque chose — et la première défense automatisée est arrivée six jours plus tard, ciblant les signatures et la revue de modèles plutôt que le modèle de confiance qui rendait le leurre efficace.