Infostealer mulai memanen konfigurasi OpenClaw dan token gateway

Pada Februari 2026, sebuah stealer informasi komersial mengambil lingkungan konfigurasi agen OpenClaw dari mesin yang terinfeksi: file JSON yang menyimpan token gateway agen, file JSON yang menyimpan kunci penandatanganan perangkatnya, dan file Markdown yang menentukan persona dan memorinya. Hudson Rock, firma intelijen ancaman yang menerbitkan temuan itu, menyebutnya tonggak dalam perilaku stealer, menggambarkan pergeseran dari kredensial browser ke identitas agen AI pribadi; BleepingComputer melaporkan klaim firma tersebut bahwa ini adalah contoh pertama di alam liar dari jenisnya, dan The Hacker News juga melaporkannya pada bulan itu. Stealer tersebut tidak dibuat untuk OpenClaw. Catatan Hudson Rock menyebutkan rutinitas pengambil file yang luas menyapu ekstensi sensitif dan nama direktori seperti .openclaw dan mengambil folder itu secara kebetulan, itulah sebabnya firma tersebut menggambarkan malware itu sebagai menemukan emas secara kebetulan, bukan memburu agen tersebut. Arsip tersebut mengarsipkan episode ini sebagai insiden kredensial tingkat keparahan tinggi dengan keyakinan B, status disengketakan salah, dengan kerugian nyata yang tercatat, dan Orca AI Incident Archive menyimpan catatan ini bersama entri OpenClaw di sekitarnya, masing-masing dinilai berdasarkan buktinya sendiri.

Tiga file, dan apa yang masing-masing buka

OpenClaw, sebelumnya Clawdbot dan Moltbot, adalah agen AI pribadi yang dihosting sendiri yang menyimpan status persisten dalam file di mesin pengguna sendiri. Tulisan Hudson Rock, yang diringkas oleh The Hacker News dan BleepingComputer, mencantumkan tiga hal yang diambil dari direktori OpenClaw korban. openclaw.json berisi alamat Gmail yang sebagian disunting, jalur workspace, dan token gateway entropi tinggi yang disimpan di bawah gateway.auth.token. Catatan teknis Hudson Rock menyatakan bahwa token tersebut memungkinkan penyerang terhubung ke instans OpenClaw lokal korban secara jarak jauh jika port terekspos, atau menyamar sebagai klien dalam permintaan terautentikasi ke gateway AI.

device.json berisi publicKeyPem dan privateKeyPem perangkat pengguna, pasangan kunci yang digunakan OpenClaw untuk pemasangan dan untuk operasi penandatanganan. Menurut Hudson Rock, dengan bagian privatnya, penyerang dapat menandatangani pesan sebagai perangkat korban, berpotensi melewati pemeriksaan "Safe Device" dan menjangkau log terenkripsi atau layanan cloud yang dipasangkan ke perangkat tersebut. soul.md, bersama dengan file memori AGENTS.md dan MEMORY.md, berisi prinsip operasi agen, pedoman perilaku, dan batas etika, dan, dalam deskripsi perusahaan tersebut, kemungkinan berisi log harian aktivitas pengguna, pesan pribadi, dan acara kalender — yang disebutnya sebagai cetak biru kehidupan pengguna.

Satu detail dalam laporan vendor perlu dipisahkan dari yang lain. Hudson Rock menjalankan file-file curian itu melalui sistem AI miliknya sendiri, Enki, untuk penilaian risiko otomatis, dan ringkasan atas output tersebut adalah bahwa token, kunci, dan konteks pribadi secara bersama-sama setara dengan kompromi total atas identitas digital pengguna. Itu adalah model risiko yang diterapkan pada file-file tersebut. Itu bukan catatan tentang apa pun yang dilakukan penyerang dengan file-file itu.

Mekanisme itu adalah kumpulan campur aduk, bukan entri daftar periksa

Ringkasan satu baris arsip itu menyebut bahwa kredensial agen telah "secara resmi masuk ke daftar periksa standar infostealer". Dokumen di bawahnya menyatakan hal yang lebih sempit. Hudson Rock menegaskan bahwa tidak ada modul khusus OpenClaw yang terlibat: malware menjalankan rutinitas generik yang memanen file berdasarkan ekstensi dan nama direktori, dan .openclaw cocok. Alon Gal, salah satu pendiri dan CTO Hudson Rock, mengatakan kepada BleepingComputer bahwa rutinitas tersebut memindai file dan direktori yang mengandung kata kunci seperti "token" dan "private key".

Modul khusus itu adalah ramalan, bukan observasi. Hudson Rock menulis bahwa seiring agen seperti OpenClaw semakin terintegrasi ke dalam alur kerja profesional, pengembang stealer kemungkinan akan merilis modul yang dirancang khusus untuk mendekripsi dan mengurai file-file ini, seperti yang mereka lakukan untuk Chrome atau Telegram saat ini. Pada 26 Januari 2026, firma yang sama telah menerbitkan tulisan berjudul ClawdBot: The New Primary Target for Infostealers in the AI Era, yang berargumen bahwa agen tersebut menyimpan memori, profil, dan token autentikasi dalam Markdown dan JSON teks biasa yang sering kali dapat dibaca oleh proses apa pun yang berjalan sebagai pengguna. Kasus Februari adalah pertama kalinya mereka melaporkan bahwa prediksi itu terwujud di mesin nyata.

Perbedaan ini bukan sekadar akademis. Sapuan insidental berarti paparan merupakan sifat dari tempat agen menyimpan rahasianya, bukan karena penyerang telah memutuskan untuk memburu OpenClaw. Jika parser hadir, file yang sama menjadi dapat dibaca dalam skala besar, bukan sekadar dapat dikumpulkan, dan pertanyaan pertahanan bergeser dari izin direktori ke apa yang masih dapat dijangkau oleh token gateway dan kunci perangkat setelah keduanya hilang.

Satu mesin, satu vendor, dan jejak panjang pengulangan

Postingan Hudson Rock menggambarkan satu korban, dalam bentuk tunggal, dan menerbitkan tangkapan layar pohon direktori satu mesin yang terinfeksi. Tidak disebutkan berapa banyak mesin asal sampel itu, dan tidak ada liputan yang dibaca untuk artikel ini yang menambahkan kasus kedua. Bill Toulas dari BleepingComputer berbicara langsung dengan Gal dan memuat detail yang tidak ada dalam postingan Hudson Rock — atribusi Vidar dan pemindaian berbasis kata kunci — tetapi pengamatan yang mendasarinya tetap satu infeksi, yang dilihat oleh satu vendor. Infosecurity Magazine dan SecurityAffairs mengulang temuan yang sama dalam waktu sehari setelah postingan Hudson Rock, dan ThaiCERT mengulanginya dalam sebuah advisory pada 25 Februari 2026. CERT nasional yang mengulang laporan vendor adalah amplifikasi, bukan konfirmasi independen.

Itulah yang dicatat oleh kepercayaan B arsip: terdokumentasi, tetapi dari satu sumber atau sumber sekunder. Catatan itu juga bertanggal Februari 2026 dengan presisi bulan; catatan BleepingComputer memberi tanggal pencurian secara lebih sempit, tetapi arsip hanya memuat bulan, dan artikel ini mengikuti presisi arsip. Tidak ada yang dibaca untuk artikel ini yang membantah catatan Hudson Rock, dan catatan itu ditandai tidak terbantahkan. Peringatannya bukanlah kontradiksi. Yang menjadi persoalan adalah bahwa pembingkaian tonggak — kasus langsung pertama, pergeseran dari kredensial peramban ke identitas agen — merupakan karakterisasi oleh firma yang menemukan sampel, dan tidak ada baseline publik yang terhadapnya "pertama" dapat diperiksa.

Tidak ada CVE yang ditetapkan. Tidak ada advisory keamanan OpenClaw yang membahas pencurian ini dalam sumber-sumber yang dibaca untuk artikel ini, dan tidak ada regulator yang menerbitkan temuan sendiri tentangnya — satu-satunya dokumen yang berdekatan dengan pemerintah yang ditemukan adalah advisory ThaiCERT, yang mengulang laporan Hudson Rock. Berbeda dengan cacat perangkat lunak, insiden ini tidak memiliki patch yang bisa ditunjuk, karena file-file tersebut tidak melakukan apa pun yang dianggap salah oleh perangkat lunak. File-file itu berada dalam plaintext di disk, di samping agen.

Apa yang tidak ditetapkan oleh catatan tersebut

• Tidak ada sumber yang dibaca untuk artikel ini yang menunjukkan penggunaan token gateway atau kunci perangkat yang dicuri. Kerugian yang disebut Hudson Rock bersifat kondisional sepanjang teks — "jika port terekspos", "berpotensi melewati" — dan liputan yang mengulanginya tidak menambahkan bukti intrusi yang terdemonstrasi.

• Atribusi Vidar diberi catatan kehati-hatian oleh perusahaan yang membuatnya. Gal menggambarkan sampel tersebut kemungkinan sebagai varian Vidar, stealer siap pakai yang aktif sejak akhir 2018, berdasarkan detail infeksi; tidak ada hash yang dipublikasikan, analisis sampel, atau perbandingan keluarga yang muncul dalam sumber yang dibaca di sini.

• Jumlah pengguna yang terdampak tidak diketahui. Hudson Rock melaporkan satu korban dan tidak memberikan jumlah mesin tambahan, dan tidak ada laporan lanjutan yang ditemukan untuk artikel ini yang menyebutkannya.

• Apakah materi yang dicuri diperdagangkan, dijual, atau diindeks oleh layanan kriminal mana pun tidak dapat dipastikan oleh sumber mana pun yang dibaca di sini.

• Kerugian nyata yang ditandai oleh catatan itu adalah eksfiltrasi itu sendiri: kredensial dan kunci mesin nyata telah keluar dari mesin tersebut. Itu adalah ambang yang lebih rendah daripada pengambilalihan, dan catatan itu tidak mengklaim adanya pengambilalihan.

Apa yang sudah berubah, dan apa yang tidak dicakupnya

OpenClaw mengumumkan kemitraan dengan VirusTotal pada 7 Februari 2026, sebelum Hudson Rock menerbitkan laporannya. Pengaturan ini memindai setiap skill yang diunggah ke ClawHub — mengemasnya, melakukan hashing, memeriksa hash tersebut terhadap VirusTotal, dan menjalankan analisis Code Insight milik VirusTotal pada apa pun yang belum pernah terlihat — dan proyek itu melengkapinya dengan model ancaman serta audit untuk potensi kesalahan konfigurasi. Ini menangani marketplace. Ini tidak mengenkripsi openclaw.json di disk pengguna, dan tidak melakukan apa pun terhadap malware yang sudah berjalan di endpoint dan membaca direktori home, yang merupakan vektor dalam catatan ini.

Hal yang paling mendekati panduan yang ditujukan untuk kegagalan ini bersifat advisori, bukan teknis. Catatan ThaiCERT 25 Februari 2026 mengulangi temuan Hudson Rock dan merekomendasikan menjalankan agen di mesin virtual atau kontainer yang disandbox dengan hak istimewa paling rendah, menghindari akses langsung ke data sensitif, memverifikasi sumber setiap skill yang dipasang, memantau log aktivitas, dan menyiapkan rencana respons insiden yang mencakup reset sistem penuh dan rotasi kredensial. Uraian publik OpenClaw sendiri tentang pekerjaan keamanannya, yang diterbitkan pada April 2026, menyatakan bahwa rahasia dipindahkan dari "tolong berhati-hati" ke referensi sehingga kredensial tidak berada di prompt, log, transkrip, atau status agen — arah yang sama, meskipun tulisan tersebut tidak membahas file konfigurasi yang didokumentasikan Hudson Rock.

Yang perlu diperhatikan adalah apakah parser khusus akan muncul. Perkiraan Hudson Rock adalah bahwa parser tersebut akan muncul, dan unggahan Januari mereka adalah alasan untuk menganggap perkiraan itu serius, bukan karena sampel Februari menjadi buktinya. Sampai saat itu, catatan yang ada tetap berupa satu pencurian yang terdokumentasi dengan baik: state agen dalam teks polos, diambil oleh stealer yang tidak mencarinya, dengan kerusakan dinilai oleh vendor alih-alih diamati di alam liar.