ClawHavoc: 341 Skills malevoli di ClawHub e un conteggio in continuo movimento

Il 1° febbraio 2026 la società di sicurezza Koi Security ha pubblicato un audit di ClawHub, il marketplace di skill collegato all'agente AI open source OpenClaw: delle 2.857 skill elencate, ne ha segnalate 341 come dannose, con 335 riconducibili a un'unica operazione coordinata che ha chiamato ClawHavoc. Si tratta di poco meno del 12 per cento del marketplace. Il payload principale era Atomic Stealer, noto come AMOS, un infostealer macOS commerciale che, secondo quanto riporta The Hacker News, viene noleggiato per circa 500–1.000 dollari al mese, ed è arrivato attraverso il passaggio che gli utenti sono più abituati a compiere senza pensarci: una sezione "Prerequisites" che diceva loro di installare prima un'altra cosa. Agli utenti Windows veniva indicato uno ZIP protetto da password su GitHub; a quelli macOS un comando shell ospitato su glot.io, con l'istruzione di incollarlo nel Terminale. La voce dedicata alla campagna nell'archivio stesso, con i suoi livelli di gravità e affidabilità, si trova nell'Orca AI Incident Archive accanto agli altri incidenti della supply chain registrati quella settimana.

Cosa ha effettivamente guardato Koi

ClawHub è un marketplace della community che affianca OpenClaw, un assistente AI self-hosted precedentemente noto come Clawdbot e Moltbot. Le Skills sono il meccanismo di estensione: pacchetti di istruzioni più script che insegnano all'agente a fare una cosa specifica — leggere un wallet Solana, riassumere un video di YouTube, monitorare i prezzi su Polymarket. Installarne una significa concederle lo stesso raggio d'azione dell'agente.

Koi ha condotto il proprio audit con un bot OpenClaw tutto suo, chiamato Alex, secondo il rapporto di The Hacker News del 2 febbraio. Il ricercatore citato in quel rapporto, Oren Yomtov, ha descritto l’esca in parole semplici: "Installi quello che sembra una skill legittima — magari solana-wallet-tracker o youtube-summarize-pro. La documentazione della skill sembra professionale. Ma c’è una sezione 'Prerequisiti' che dice che devi prima installare qualcosa."

Il motivo per cui esisteva un mercato da avvelenare era che ClawHub era aperta per impostazione predefinita. The Hacker News riportava che chiunque poteva caricare contenuti e che all'epoca l'unica restrizione era che l'account GitHub dell'editore dovesse esistere da almeno una settimana. Il rapporto di Koi descriveva la piattaforma come dotata di "praticamente nessun meccanismo di revisione della sicurezza", una frase che Antiy CERT cita nella propria analisi.

Come è arrivato il payload

La consegna variava a seconda del sistema operativo, ma la forma era la stessa: la skill in sé è per lo più innocua, e il danno risiede nelle istruzioni di installazione.

• Su Windows, la documentazione rimandava a una release GitHub contenente un ZIP protetto da password. All'interno c'era un trojan con capacità di keylogging mirato a chiavi API, credenziali e quant'altro il bot su quella macchina potesse già raggiungere — il che, su un host agente, è moltissimo. Il rapporto di Antiy CERT afferma che gli archivi contenevano tipicamente una delle tre password (1202, openclaw o 1234) e sottolinea lo scopo della crittografia: far superare al file la scansione di GitHub stesso e la scansione in tempo reale sulla macchina della vittima.

• Su macOS, la documentazione diceva agli utenti di copiare uno script ospitato su glot[.]io e incollarlo nel Terminale. Lo script eseguiva comandi shell offuscati, contattava 91.92.242[.]30 per ottenere un secondo script, e quel script scaricava un binario Mach-O universale — una sola build per Intel e Apple Silicon.

Koi ha valutato che quel binario presentava tratti compatibili con AMOS. OpenSourceMalware, l'organizzazione di ricerca diretta da Paul McCarty, ha segnalato la stessa campagna lo stesso giorno e ha valutato il proprio campione in modo leggermente diverso: probabilmente un nuovo ceppo di NovaStealer. I due rapporti concordano sull'infrastruttura, sull'esca e sui dati presi di mira — chiavi API degli exchange, file di wallet, dati delle estensioni del browser tra cui MetaMask, seed phrase, il Portachiavi di macOS, password salvate nel browser, chiavi SSH, credenziali cloud e Git, .env — ma non, precisamente, sull'etichetta della famiglia. Entrambe le attribuzioni sono dei ricercatori stessi.

Non tutte le skill malevole erano un'esca-prerequisito di ClawHavoc. Koi ha segnalato skill — tra cui better-polymarket e polymarket-all-in-one — che nascondevano backdoor reverse-shell all'interno di codice altrimenti funzionante, così la compromissione avveniva durante il normale utilizzo anziché al momento dell'installazione. Un'altra, rankaj, inviava le credenziali del bot memorizzate in ~/.clawdbot/.env a un endpoint webhook[.]site. I nomi erano costruiti per essere letti male quando scorsi rapidamente: clawhubb, cllawhub, clawwhub, clawhubcli, insieme a sosia di crypto, YouTube, auto-updater e Google Workspace.

Antiy CERT aggiunge un dettaglio che vale la pena segnalare come sua valutazione più che come risultato accertato: afferma che la documentazione di supporto su queste competenze si estende per 500–700 righe ed è "probabilmente essa stessa generata dall'IA". Si tratta di un'inferenza basata sulla lunghezza e sulla coerenza dei documenti, non di qualcosa che il rapporto dimostri.

Il conteggio non è un singolo numero.

Il dato che accompagna ClawHavoc non è stabile, e il motivo è che gli audit rispondevano a domande diverse in giorni diversi.

Il 341 di Koi è un conteggio di annunci attivi al momento della sua scansione: 341 voci malevole su 2.857 skill esaminate, 335 delle quali riconducibili a un'unica campagna. I numeri di OpenSourceMalware descrivono una ondata di pubblicazioni più che un'istantanea del marketplace — 28 skill malevole pubblicate tra il 27 e il 29 gennaio, poi altre 386 tra il 31 gennaio e il 2 febbraio, attribuite a sette account di publisher, con 354 del secondo lotto provenienti da un unico account, hightower6eu. Il 1.184 di Antiy CERT è un conteggio della storia: pacchetti malevoli identificati nel repository di ClawHub al 5 febbraio, attribuiti a 12 ID autore, con hightower6eu a 677 e sakaen736jih a 390. Antiy ha inoltre registrato che 60 pacchetti di un unico uploader, moonshine-100rze, erano ancora accessibili al momento della pubblicazione e avevano accumulato 14.285 download, e che la piattaforma conteneva 3.498 skill una volta completate le rimozioni su larga scala.

Poi c'è 824. La scheda dell'archivio annota la cifra come una revisione successiva, ma non risale a una pubblicazione primaria datata come gli altri numeri risalgono a Koi, OpenSourceMalware e Antiy. Dove compare è in commenti successivi di terze parti — per esempio un post su Hacker News del marzo 2026 dell'autore di uno scanner di skill, che descrive "824 skill malevole (20% di ClawHub)" senza nominare l'audit sottostante. Neanche l'aritmetica torna con le altre cifre pubblicate: 824 è poco meno del 29 per cento di 2.857, quindi il "20 per cento" implica ancora un denominatore diverso, non dichiarato. Trattalo come un numero in circolazione piuttosto che un numero con una metodologia pubblicata. La stessa cautela vale per le varianti "1.200+" che compaiono in resoconti successivi.

Più che sbagliati, questi dati non sono comparabili: gli elenchi in un singolo momento, le pubblicazioni in una finestra temporale e l'intera storia di un repository sono tre denominatori diversi, e una variante typosquat può costituire una voce o più voci a seconda di come il contatore le ha raggruppate.

Cosa ha cambiato OpenClaw

Due cose, entrambe nella settimana che seguì la rivelazione di Koi.

Il primo riguardava le segnalazioni degli utenti. The Hacker News ha riportato che il creatore di OpenClaw, Peter Steinberger, ha rilasciato una funzionalità che consente agli utenti autenticati di segnalare una skill, con una documentazione che afferma che ciascun utente può avere fino a 20 segnalazioni attive e che "le skill con più di 3 segnalazioni uniche vengono nascoste automaticamente per impostazione predefinita". Si tratta di un meccanismo di triage, non di uno scanner, e dipende dal fatto che qualcuno se ne accorga prima.

La seconda è stata la partnership con VirusTotal, annunciata da OpenClaw il 7 febbraio 2026. Come descritto nel post di OpenClaw: ogni bundle di skill viene pacchettizzato in modo deterministico in uno ZIP con compressione e timestamp coerenti, oltre a un _meta.json contenente i dati dell'editore e della versione; viene generato un hash SHA-256; l'hash viene confrontato con l'intelligence sulle minacce di VirusTotal e, se non esiste un verdetto, il bundle viene caricato tramite l'API v3 di VirusTotal. Code Insight di VirusTotal — una revisione guidata da LLM che, secondo il post di OpenClaw, è "alimentata da Gemini" — legge l'intero pacchetto a partire da SKILL.md. I verdetti determinano le azioni: le skill innocue vengono approvate automaticamente, quelle sospette mostrano un avviso ma restano visibili, quelle malevole vengono bloccate dal download. Tutte le skill attive vengono ricontrollate quotidianamente e i presunti falsi positivi vanno segnalati a [email protected].

OpenClaw è stato esplicito sui limiti nello stesso post, definendo l'integrazione «non una soluzione miracolosa» e avvertendo che «una scansione pulita non significa che una skill sia sicura», perché la manipolazione in linguaggio naturale e il prompt injection potrebbero non essere rilevati dalle firme o da un database delle minacce. La valutazione di Antiy CERT va nella stessa direzione dall'esterno: definisce la funzione di segnalazione necessaria ma tutt'altro che sufficiente, e sostiene che la difesa su scala di store richieda analisi statica, analisi del codice e semantica, esecuzione in sandbox e un team di risposta a supporto.

Che cosa è stabilito e che cosa non lo è

Una nota preliminare sulle fonti, perché è importante per tutto quanto sopra. Il post originale di Koi non è più raggiungibile all'indirizzo in cui era stato pubblicato. L'URL koi.ai citato dall'archivio ora reindirizza a una pagina prodotto di Palo Alto Networks Cortex, in seguito all'acquisizione di Koi da parte di Palo Alto Networks, che l'azienda ha annunciato come completata il 14 aprile 2026. Pertanto, le cifre e le citazioni di Koi riportate qui provengono da testate che hanno letto il rapporto mentre era ancora online — The Hacker News il 2 febbraio, eSecurity Planet il 3 febbraio, Gadget Review l'11 febbraio — e da Antiy CERT, che cita direttamente il rapporto di Koi nella propria analisi di febbraio. Non è stato possibile leggere il post di Koi stesso per questo articolo.

Stabilito che Koi ha verificato 2.857 skill e ne ha segnalate 341 malevole, 335 delle quali riconducibili a un'unica campagna; il meccanismo di adescamento tramite prerequisiti su entrambi i sistemi operativi; l'indirizzo di command-and-control 91.92.242[.]30; i casi anomali di reverse-shell e .env-esfiltrazione; la funzionalità di segnalazione; e l'integrazione con VirusTotal insieme alla pipeline descritta sopra. Il danno reale non è in dubbio — Antiy ha registrato 14.285 download su 60 pacchetti ancora accessibili da un unico uploader, e OpenSourceMalware ha stimato quasi 7.000 download totali per un editore — e i dati presi di mira dai payload sono esattamente i dati che un host agente concentra: chiavi di wallet, chiavi API di exchange, chiavi SSH, token cloud, password del browser.

Divergente: il conteggio, per i motivi nella sezione precedente, e l'etichetta della famiglia di malware.

Non è stato stabilito, almeno in nulla di pubblicato che questo articolo abbia potuto consultare: quante persone abbiano effettivamente installato una skill malevola, quante credenziali siano state rubate o se qualcuna delle somme o delle chiavi rubate sia stata rintracciata. Antiy afferma che le skill malevole "erano state scaricate migliaia di volte, infettando utenti Windows e macOS" — si tratta di una valutazione dell'esposizione, non di un conteggio delle vittime, e nessun editore ne ha fornito uno. Non viene inoltre precisato se tutte le 341 inserzioni fossero attive nel momento in cui Koi ha pubblicato.

Il fatto duraturo è la forma del fallimento, non l’aritmetica. Un marketplace sul quale chiunque poteva pubblicare, in un ecosistema in cui installare un pacchetto significa consegnare le credenziali dell’agente, ha prodotto una campagna il cui intero exploit era un README che diceva all’utente di eseguire qualcosa — e la prima difesa automatizzata è arrivata sei giorni dopo, mirata alle firme e alla revisione dei modelli anziché al modello di fiducia che rendeva efficace l’esca.