ClawHavoc: 341 Skill ClawHub Berbahaya dan Jumlah yang Terus Berubah

Pada 1 Februari 2026, perusahaan keamanan Koi Security menerbitkan audit terhadap ClawHub, marketplace skill yang melekat pada agen AI sumber terbuka OpenClaw: dari 2.857 skill yang terdaftar di sana, ia melaporkan 341 sebagai berbahaya, dengan 335 di antaranya terlacak ke satu operasi terkoordinasi yang diberi nama ClawHavoc. Jumlah itu sedikit di bawah 12 persen dari marketplace tersebut. Payload utamanya adalah Atomic Stealer, yang dikenal sebagai AMOS, infostealer macOS komoditas yang menurut laporan The Hacker News disewakan sekitar $500–1.000 per bulan, dan ia masuk melalui langkah yang paling terbiasa dilakukan pengguna tanpa berpikir — bagian "Prerequisites" yang menyuruh mereka memasang satu hal lagi lebih dulu. Pengguna Windows diarahkan ke ZIP yang dilindungi kata sandi di GitHub; pengguna macOS ke perintah shell yang dihosting di glot.io dan diminta menempelkannya ke Terminal. Entri arsip itu sendiri untuk kampanye tersebut, dengan nilai keparahan dan keyakinannya, berada di Orca AI Incident Archive di samping insiden rantai pasok lain yang tercatat minggu itu.

Apa yang sebenarnya dilihat Koi

ClawHub adalah pasar komunitas yang berdampingan dengan {{1}}OpenClaw{{/1}}, asisten AI yang di-host sendiri yang sebelumnya dikenal sebagai {{2}}Clawdbot{{/2}} dan {{3}}Moltbot{{/3}}. Skill adalah mekanisme ekstensi: instruksi terpaket plus skrip yang mengajari agen untuk melakukan hal tertentu — membaca dompet {{4}}Solana{{/4}}, merangkum video {{5}}YouTube{{/5}}, melacak harga di {{6}}Polymarket{{/6}}. Memasangnya berarti memberikannya jangkauan yang sama dengan yang dimiliki agen.

Koi menjalankan auditnya dengan bot OpenClaw miliknya sendiri, bernama Alex, menurut laporan The Hacker News pada 2 Februari. Peneliti yang dikutip dalam laporan itu, Oren Yomtov, menjelaskan umpan tersebut dengan gamblang: "Anda memasang sesuatu yang tampak seperti skill sah — mungkin solana-wallet-tracker atau youtube-summarize-pro. Dokumentasi skill itu terlihat profesional. Namun ada bagian 'Prasyarat' yang menyatakan Anda perlu memasang sesuatu terlebih dahulu."

Alasan ada pasar untuk diracuni adalah karena ClawHub terbuka secara default. The Hacker News melaporkan bahwa siapa pun dapat mengunggah, dan satu-satunya batasan saat itu adalah akun GitHub penerbit harus berusia setidaknya satu minggu. Laporan Koi sendiri menggambarkan platform tersebut sebagai memiliki "hampir tidak ada mekanisme tinjauan keamanan," kalimat yang dikutip Antiy CERT dalam analisisnya sendiri.

Bagaimana payload itu tiba

Penyampaiannya berbeda-beda menurut sistem operasi, tetapi bentuknya tetap sama: keterampilan itu sendiri sebagian besar tidak berbahaya, dan bahayanya justru ada pada instruksi pemasangannya.

• Di Windows, dokumentasi tersebut menautkan ke rilis GitHub yang berisi ZIP yang dilindungi kata sandi. Di dalamnya ada trojan dengan kemampuan keylogging yang menyasar kunci API, kredensial, dan apa pun yang sudah dapat dijangkau bot di mesin itu — yang, pada host agen, jumlahnya sangat banyak. Laporan Antiy CERT menyebutkan arsip tersebut biasanya menggunakan salah satu dari tiga kata sandi (1202, openclaw, atau 1234) dan mencatat tujuan enkripsi tersebut: membuat file lolos dari pemindaian GitHub sendiri dan pemindaian real-time di mesin korban.

• Di macOS, dokumentasi tersebut memberi tahu pengguna untuk menyalin skrip yang dihosting di glot[.]io dan menempelkannya ke Terminal. Skrip itu menjalankan perintah shell yang diobfuskasi, menghubungi 91.92.242[.]30 untuk mendapatkan skrip kedua, dan skrip tersebut mengambil biner Mach-O universal — satu build untuk Intel dan Apple Silicon sekaligus.

Koi menilai bahwa biner tersebut menunjukkan ciri yang konsisten dengan AMOS. OpenSourceMalware, lembaga riset yang dijalankan oleh Paul McCarty, melaporkan kampanye yang sama pada hari yang sama dan menilai sampelnya sendiri sedikit berbeda: kemungkinan galur NovaStealer baru. Kedua laporan sepakat mengenai infrastruktur, umpan, dan data yang disasar — kunci API bursa, berkas dompet, data ekstensi peramban termasuk MetaMask, frasa seed, Keychain macOS, kata sandi peramban yang tersimpan, kunci SSH, kredensial cloud dan Git, berkas .env — tetapi tidak, secara tepat, mengenai label famili. Kedua atribusi tersebut merupakan penilaian para peneliti sendiri.

Tidak semua skill berbahaya merupakan umpan prasyarat ClawHavoc. Koi melaporkan skill — termasuk better-polymarket dan polymarket-all-in-one — yang menyembunyikan backdoor reverse shell di dalam kode yang tetap berfungsi normal, sehingga kompromi terjadi saat penggunaan biasa, bukan saat instalasi. Yang lain, rankaj, mengirim kredensial bot yang tersimpan di ~/.clawdbot/.env ke endpoint webhook[.]site. Nama-namanya dirancang agar salah baca saat dilihat sekilas: clawhubb, cllawhub, clawwhub, clawhubcli, bersama dengan tiruan crypto, YouTube, auto-updater, dan Google Workspace.

Antiy CERT menambahkan satu detail yang layak dicatat sebagai penilaian mereka alih-alih sebagai temuan: mereka menyatakan bahwa dokumentasi pendukung untuk keterampilan-keterampilan ini mencapai 500–700 baris dan "kemungkinan besar dihasilkan sendiri oleh AI." Itu merupakan inferensi dari panjang dan konsistensi dokumen tersebut, bukan sesuatu yang dibuktikan oleh laporan itu.

Jumlahnya bukan satu angka

Angka yang terus mengikuti ClawHavoc itu tidak stabil, dan alasannya adalah audit-audit tersebut menjawab pertanyaan yang berbeda pada hari yang berbeda.

Angka 341 Koi adalah jumlah listing aktif pada saat pemindaiannya: 341 entri berbahaya dari 2.857 skill yang diperiksa, 335 di antaranya berasal dari satu kampanye. Angka-angka OpenSourceMalware menggambarkan gelombang publikasi alih-alih snapshot marketplace — 28 skill berbahaya dipublikasikan antara 27 dan 29 Januari, lalu 386 lainnya antara 31 Januari dan 2 Februari, yang diatribusikan ke tujuh akun penerbit, dengan 354 dari batch kedua berasal dari satu akun, hightower6eu. Angka 1.184 Antiy CERT adalah jumlah riwayat: paket berbahaya yang diidentifikasinya di repositori ClawHub per 5 Februari, yang diatribusikan ke 12 ID penulis, dengan hightower6eu sebanyak 677 dan sakaen736jih sebanyak 390. Antiy juga mencatat bahwa 60 paket dari satu pengunggah, moonshine-100rze, masih dapat diakses saat publikasi dan telah mengumpulkan 14.285 unduhan, serta bahwa platform tersebut memiliki 3.498 skill setelah penghapusan besar-besaran dilakukan.

Lalu ada 824. Catatan arsip mencatat angka tersebut sebagai revisi belakangan, tetapi angka itu tidak dapat dilacak hingga ke publikasi primer bertanggal sebagaimana angka-angka lain dapat dilacak ke Koi, OpenSourceMalware, dan Antiy. Angka itu muncul dalam komentar pihak ketiga yang lebih belakangan — misalnya sebuah pos Hacker News Maret 2026 oleh penulis sebuah pemindai skill, yang menyebut "824 skill berbahaya (20% dari ClawHub)" tanpa menyebutkan audit di baliknya. Aritmetika di sana juga tidak konsisten dengan angka-angka lain yang dipublikasikan: 824 sedikit di bawah 29 persen dari 2.857, sehingga "20 persen" itu menyiratkan penyebut yang berbeda lagi, tanpa disebutkan. Perlakukan itu sebagai angka yang beredar, bukan angka dengan metodologi yang dipublikasikan. Kehati-hatian yang sama berlaku untuk varian "1.200+" yang muncul dalam tulisan-tulisan belakangan.

Tidak satu pun dari ini yang salah, melainkan tidak dapat dibandingkan: daftar pada satu titik waktu, publikasi dalam suatu rentang waktu, dan seluruh riwayat sebuah repositori adalah tiga penyebut yang berbeda, dan varian typosquat bisa berupa satu entri atau beberapa entri tergantung bagaimana penghitungnya mengelompokkannya.

Apa yang diubah OpenClaw

Dua hal, keduanya terjadi pada pekan setelah pengungkapan Koi.

Yang pertama adalah pelaporan pengguna. The Hacker News melaporkan bahwa kreator OpenClaw, Peter Steinberger, merilis fitur yang memungkinkan pengguna yang sudah masuk untuk menandai sebuah skill, dengan dokumentasi yang menyatakan bahwa setiap pengguna dapat memiliki hingga 20 laporan aktif dan bahwa "skill dengan lebih dari 3 laporan unik otomatis disembunyikan secara default." Itu adalah mekanisme triase, bukan pemindai, dan bergantung pada seseorang yang menyadarinya lebih dulu.

Yang kedua adalah kemitraan VirusTotal, yang diumumkan oleh OpenClaw pada 7 Februari 2026. Seperti yang dijelaskan dalam postingan OpenClaw sendiri: setiap bundel skill dikemas secara deterministik menjadi ZIP dengan kompresi dan stempel waktu yang konsisten serta sebuah _meta.json yang membawa data penerbit dan versi; hash SHA-256 dibuat; hash tersebut diperiksa terhadap intelijen ancaman VirusTotal, dan jika tidak ada putusan, bundel diunggah melalui API v3 VirusTotal. Code Insight dari VirusTotal — tinjauan yang digerakkan oleh LLM yang menurut postingan OpenClaw "didukung oleh Gemini" — membaca seluruh paket mulai dari SKILL.md. Putusan menentukan tindakan: skill yang aman otomatis disetujui, yang mencurigakan membawa peringatan tetapi tetap terlihat, yang berbahaya diblokir dari pengunduhan. Semua skill aktif dipindai ulang setiap hari, dan dugaan positif palsu dikirim ke [email protected].

OpenClaw secara eksplisit menyebutkan batasan-batasannya dalam pos yang sama, menyebut integrasi itu "bukan solusi ajaib" dan memperingatkan bahwa "pemindaian yang bersih tidak berarti sebuah skill aman," karena manipulasi bahasa alami dan injeksi prompt mungkin tidak terdeteksi oleh signatur atau basis data ancaman. Penilaian Antiy CERT juga mengarah ke hal yang sama dari sisi luar: mereka menyebut fitur pelaporan itu perlu tetapi jauh dari cukup, dan berpendapat bahwa pertahanan pada skala toko aplikasi membutuhkan analisis statis, analisis kode dan semantik, eksekusi sandbox, serta tim respons di belakangnya.

Apa yang sudah mapan, dan apa yang belum

Catatan tentang sumber terlebih dahulu, karena ini penting untuk semua hal di atas. Postingan asli Koi tidak lagi dapat diakses pada alamat publikasinya. URL koi.ai yang dikutip oleh arsip kini mengalihkan ke halaman produk Palo Alto Networks Cortex, menyusul akuisisi Koi oleh Palo Alto Networks, yang diumumkan perusahaan telah selesai pada 14 April 2026. Jadi angka dan kutipan Koi di sini diambil dari media yang membaca laporan tersebut saat masih tayang — The Hacker News pada 2 Februari, eSecurity Planet pada 3 Februari, Gadget Review pada 11 Februari — dan dari Antiy CERT, yang mengutip laporan Koi secara langsung dalam analisis Februari miliknya sendiri. Postingan Koi itu sendiri tidak dapat dibaca untuk artikel ini.

Telah ditetapkan: bahwa Koi mengaudit 2.857 skill dan melaporkan 341 berbahaya, 335 di antaranya dari satu kampanye; mekanisme umpan prasyarat pada kedua sistem operasi; alamat command-and-control 91.92.242[.]30; outlier reverse-shell dan .env-eksfiltrasi; fitur pelaporan; dan integrasi VirusTotal dengan pipeline yang dijelaskan di atas. Kerugian nyata tidak diragukan — Antiy mencatat 14.285 unduhan di 60 paket yang masih dapat diakses dari satu pengunggah, dan OpenSourceMalware mencatat total satu penerbit hampir 7.000 unduhan — dan data yang menjadi sasaran payload justru data yang terkonsentrasi pada host agen: kunci dompet, kunci API bursa, kunci SSH, token cloud, kata sandi browser.

Berbeda: jumlahnya, karena alasan-alasan pada bagian di atas, dan label keluarga malware.

Tidak dapat dipastikan, setidaknya dalam hal apa pun yang dipublikasikan dan dapat dibaca artikel ini: berapa banyak orang yang benar-benar memasang skill berbahaya, berapa banyak kredensial yang dicuri, atau apakah ada dana atau kunci yang dicuri yang telah dilacak. Antiy menyatakan bahwa skill berbahaya "telah diunduh ribuan kali, menginfeksi pengguna Windows dan macOS" — itu adalah penilaian atas paparan, bukan jumlah korban, dan tidak ada penerbit yang menghasilkan angka tersebut. Apakah seluruh 341 listing aktif pada saat Koi mempublikasikannya juga tidak disebutkan.

Fakta yang bertahan adalah bentuk kegagalannya, bukan aritmetikanya. Marketplace yang siapa pun dapat menerbitkan ke sana, dalam ekosistem tempat memasang paket berarti menyerahkan kredensial agen kepadanya, menghasilkan kampanye yang seluruh eksploitasinya adalah README yang memberi tahu pengguna untuk menjalankan sesuatu — dan pertahanan otomatis pertama tiba enam hari kemudian, diarahkan pada signature dan tinjauan model alih-alih pada model kepercayaan yang membuat umpan itu berhasil.