ClawHavoc: 341개의 악성 ClawHub 스킬과 계속 변한 집계

2026년 2월 1일 보안 업체 Koi Security는 오픈소스 AI 에이전트 OpenClaw에 연결된 스킬 마켓플레이스 ClawHub에 대한 감사를 발표했습니다. 그곳에 등록된 2,857개 스킬 중 341개를 악성으로 보고했고, 그중 335개는 단일 조직적 작전으로 추적되었으며, 그 작전의 이름은ClawHavoc입니다. 이는 마켓플레이스의 12퍼센트에 조금 못 미치는 수치입니다. 주요 페이로드는 Atomic Stealer였습니다. AMOS로 알려진 이 악성코드는 The Hacker News가 보도한 바에 따르면 월 약 500~1,000달러에 임대되는 범용 macOS 정보 탈취 악성코드이며, 사용자가 생각 없이 수행하도록 가장 익숙해진 단계 — 먼저 한 가지를 더 설치하라고 지시하는 "Prerequisites" 섹션 — 을 통해 유입되었습니다. Windows 사용자는 GitHub의 비밀번호로 보호된 ZIP 파일로 안내되었고, macOS 사용자는 glot.io에서 호스팅되는 셸 명령으로 안내되어 Terminal에 붙여넣으라는 지시를 받았습니다. 이 캠페인에 대한 아카이브 자체의 항목은 심각도 및 신뢰도 등급과 함께 Orca AI Incident Archive에서 그 주에 기록된 다른 공급망 사건들 옆에 있습니다.

Koi가 실제로 본 것

ClawHub은 커뮤니티 마켓플레이스로, 이전에 Clawdbot과 Moltbot으로 알려졌던 자체 호스팅 AI 어시스턴트 OpenClaw와 함께 운영됩니다. 스킬은 확장 메커니즘으로, 에이전트가 특정 작업을 수행하도록 가르치는 패키지된 지침과 스크립트입니다. 예를 들어 Solana 지갑 읽기, YouTube 동영상 요약, Polymarket 가격 추적 등이 있습니다. 스킬을 설치한다는 것은 에이전트가 가진 것과 동일한 접근 권한을 해당 스킬에 부여한다는 뜻입니다.

Koi는 2월 2일 The Hacker News의 보도에 따르면 자체 OpenClaw 봇인 Alex를 사용해 감사를 실행했다. 해당 보도에서 인용된 연구원 Oren Yomtov는 미끼 수법을 다음과 같이 간단히 설명했다. "겉보기에는 정상적인 스킬, 아마도 solana-wallet-tracker나 youtube-summarize-pro처럼 보이는 것을 설치합니다. 그 스킬의 문서는 전문적으로 보입니다. 하지만 'Prerequisites' 섹션에 먼저 무언가를 설치해야 한다고 적혀 있습니다."

애초에 독을 풀어놓을 시장이 존재했던 이유는 ClawHub가 기본적으로 개방되어 있었기 때문이다. Hacker News는 누구나 업로드할 수 있었고 당시 유일한 제한은 게시자의 GitHub 계정이 최소 일주일은 되었어야 한다는 것뿐이라고 보도했다. Koi 자체 보고서는 이 플랫폼에 "보안 검토 메커니즘이 사실상 전무하다"고 기술했으며, Antiy CERT는 자체 분석에서 이 문구를 인용했다.

페이로드가 도착한 방식

전달 방식은 운영체제마다 달랐지만 형태는 같았다. 스킬 자체는 대체로 무해하며, 해악은 설치 지침에 있다.

• Windows에서 해당 문서는 암호로 보호된 ZIP이 포함된 GitHub 릴리스로 연결되었습니다. 그 안에는 API 키, 자격 증명, 그리고 해당 머신의 봇이 이미 접근할 수 있었던 다른 모든 것을 겨냥한 키로깅 기능을 갖춘 트로이 목마가 있었습니다. 에이전트 호스트에서 이는 상당히 많은 범위입니다. Antiy CERT의 보고서에 따르면 해당 아카이브에는 일반적으로 세 가지 암호(1202, openclaw 또는 1234) 중 하나가 설정되어 있었으며, 암호화의 목적을 지적합니다. 즉, GitHub 자체 스캔과 피해자 머신의 실시간 스캔을 파일이 통과하게 한다는 것입니다.

• macOS에서 문서는 사용자들에게 glot[.]io에 호스팅된 스크립트를 복사해 Terminal에 붙여넣으라고 안내했습니다. 그 스크립트는 난독화된 셸 명령을 실행하고, 두 번째 스크립트를 받기 위해 91.92.242[.]30에 접속했으며, 그 스크립트는 Intel과 Apple Silicon 모두에서 동작하는 하나의 빌드인 유니버설 Mach-O 바이너리를 내려받았습니다.

Koi는 해당 바이너리가 AMOS와 일치하는 특성을 보인다고 평가했다. Paul McCarty가 운영하는 연구 조직 OpenSourceMalware는 같은 날 동일한 캠페인을 보고했으며 자체 샘플은 조금 다르게 평가했다. 아마 새로운 NovaStealer 변종일 것이라고. 두 보고서는 인프라, 유인 수단, 표적 데이터 — 거래소 API 키, 지갑 파일, MetaMask를 포함한 브라우저 확장 데이터, 시드 문구, macOS Keychain, 저장된 브라우저 비밀번호, SSH 키, 클라우드 및 Git 자격 증명, .env 파일 —에는 일치하지만, 제품군 라벨에 대해서는 정확히 일치하지 않는다. 두 귀속 모두 연구자 자신의 판단이다.

모든 악성 스킬이 ClawHavoc의 사전 요구 조건 미끼였던 것은 아닙니다. Koi는 다음을 포함한 스킬들을 보고했습니다: better-polymarket 및 polymarket-all-in-one— 이 스킬들은 정상적으로 작동하는 코드 안에 리버스 셸 백도어를 숨겨, 침해가 설치가 아니라 정상 사용 시점에 발생했습니다. 또 다른 스킬인 rankaj는 다음 위치에 저장된 봇 자격 증명을 webhook[.]site 엔드포인트로 전송했습니다: ~/.clawdbot/.env. 이름은 빠르게 볼 때 오독되도록 만들어졌습니다: clawhubb, cllawhub, clawwhub, clawhubcli, 그리고 암호화폐, YouTube, 자동 업데이터, Google Workspace 유사 이름들도 있었습니다.

안티 CERT는 발견 사항이 아니라 평가로서 주목할 만한 세부 사항을 덧붙입니다. 즉, 이 스킬들에 관한 보조 문서가 500~700줄에 달하며 "그 자체로 AI가 생성했을 가능성이 높다"고 말합니다. 이는 문서의 길이와 일관성에 근거한 추론일 뿐, 보고서가 입증한 내용은 아닙니다.

그 개수는 하나의 숫자가 아닙니다

ClawHavoc을 따라다니는 수치는 안정적이지 않으며, 그 이유는 감사들이 매일 다른 질문에 답하고 있었기 때문이다.

Koi의 341은 라이브 등록 항목을 대상으로 한 스윕 시점의 집계입니다: 조사한 2,857개 스킬 중 341개가 악성 항목이었고, 그중 335개는 하나의 캠페인이었습니다. OpenSourceMalware의 수치는 마켓플레이스 스냅샷이 아니라 게시 파동을 설명합니다 — 1월 27일부터 29일 사이에 게시된 악성 스킬 28개, 이어서 1월 31일부터 2월 2일 사이에 386개가 더 게시되었으며, 7개 게시자 계정에 걸쳐 귀속되었고 두 번째 배치 중 354개는 단일 계정인 hightower6eu에서 나왔습니다. Antiy CERT의 1,184는 이력을 집계한 수치입니다: 2월 5일 기준 ClawHub 저장소에서 식별한 악성 패키지로, 12개 작성자 ID에 귀속되었으며 hightower6eu가 677개, sakaen736jih가 390개입니다. Antiy는 또한 한 업로더인 moonshine-100rze의 패키지 60개가 게시 시점에 여전히 접근 가능했고 누적 다운로드 14,285회를 기록했으며, 대규모 삭제가 완료된 후 플랫폼에 3,498개 스킬이 남아 있었다고 기록했습니다.

그다음은 824입니다. 아카이브 기록은 이 수치를 이후 개정치로 적고 있지만, 다른 수치들이 Koi, OpenSourceMalware, Antiy로 이어지는 것처럼 날짜가 명시된 1차 출판물로까지 소급되지는 않습니다. 이 수치가 등장하는 곳은 이후의 제3자 논평입니다. 예를 들어 한 스킬 스캐너 작성자가 2026년 3월 Hacker News에 올린 글은 그 배후의 감사를 밝히지 않은 채 "824개의 악성 스킬(ClawHub의 20%)"이라고 설명합니다. 그 계산도 다른 공개 수치들과 맞아떨어지지 않습니다. 824는 2,857의 29퍼센트에 조금 못 미치므로, "20퍼센트"는 또 다른, 밝혀지지 않은 분모를 함축합니다. 공개된 방법론이 있는 수치가 아니라 유통 중인 수치로 취급하십시오. 이후 글에 등장하는 "1,200+" 변형에도 같은 주의가 적용됩니다.

이들은 틀렸다기보다는 비교할 수 없는 것에 가깝습니다. 한 시점의 목록, 일정 기간에 걸친 게시물, 저장소의 전체 이력은 서로 다른 세 가지 분모이며, 타이포스쿼트 변형은 집계 방식에 따라 하나의 항목일 수도 여러 개일 수도 있습니다.

OpenClaw가 무엇을 바꾸었나요?

Koi의 폭로 이후 일주일 안에 있었던 두 가지 일.

첫 번째는 사용자 신고였습니다. Hacker News는 OpenClaw의 창시자 Peter Steinberger가 로그인한 사용자가 스킬을 신고할 수 있는 기능을 출시했다고 보도했으며, 문서에는 각 사용자가 최대 20개의 활성 신고를 보유할 수 있고 "3개를 초과하는 고유 신고가 있는 스킬은 기본적으로 자동 숨김 처리된다"고 명시되어 있습니다. 이는 스캐너가 아니라 분류 메커니즘이며, 누군가 먼저 알아차리는 것에 의존합니다.

두 번째는 2026년 2월 7일 OpenClaw가 발표한 VirusTotal 파트너십이었습니다. OpenClaw 자체 게시물에 설명된 대로: 모든 스킬 번들은 일관된 압축과 타임스탬프를 사용해 결정론적으로 ZIP으로 패키징되고, 추가로 _meta.json에는 게시자 및 버전 데이터가 담겨 있습니다; SHA-256 해시가 생성되고; 해시는 VirusTotal의 위협 인텔리전스와 대조되며, 판정이 없으면 번들은 VirusTotal의 v3 API를 통해 업로드됩니다. OpenClaw 게시물이 "Gemini 기반"이라고 밝힌 LLM 기반 검토인 VirusTotal의 Code Insight는 SKILL.md부터 전체 패키지를 읽습니다. 판정에 따라 조치가 이루어집니다: 정상 스킬은 자동 승인되고, 의심스러운 스킬은 경고가 표시되지만 계속 볼 수 있으며, 악성 스킬은 다운로드가 차단됩니다. 모든 활성 스킬은 매일 다시 검사되며, 오탐으로 의심되는 사례는 [email protected]로 보내집니다.

OpenClaw는 같은 게시물에서 한계를 분명히 밝히며 이 통합을 "만능 해결책은 아니다"라고 표현하고, "깨끗한 스캔이 스킬이 안전하다는 뜻은 아니다"라고 경고했다. 자연어 조작과 프롬프트 인젝션은 시그니처나 위협 데이터베이스로 잡히지 않을 수 있기 때문이다. Antiy CERT의 평가도 외부에서 같은 방향을 가리킨다. 보고 기능이 필요하지만 충분하기는 거리가 멀다고 보며, 스토어 규모의 방어에는 정적 분석, 코드 및 의미 분석, 샌드박스 실행, 그리고 이를 뒷받침하는 대응 팀이 필요하다고 주장한다.

무엇이 확립되었으며, 무엇이 그렇지 않은가

먼저 출처에 관한 설명을 드리는 이유는, 이 설명이 위의 모든 내용에 중요하게 작용하기 때문입니다. Koi의 원문 게시물은 이제 게시된 주소에서 더 이상 접속되지 않습니다. 아카이브가 인용한 koi.ai URL은 현재 Palo Alto Networks의 Cortex 제품 페이지로 리디렉션되는데, 이는 Palo Alto Networks가 2026년 4월 14일 완료했다고 발표한 Koi 인수에 따른 것입니다. 따라서 여기서 인용한 Koi의 수치와 발언은 보고서가 게시되어 있던 당시 이를 읽은 매체들, 즉 2월 2일의 The Hacker News, 2월 3일의 eSecurity Planet, 2월 11일의 Gadget Review와, 자체 2월 분석에서 Koi 보고서를 직접 인용한 Antiy CERT에서 가져온 것입니다. Koi의 게시물 자체는 이 기사 작성 시 읽을 수 없었습니다.

확인된 사실: Koi가 2,857개의 스킬을 감사하고 341개가 악성이라고 보고했으며, 그중 335개는 단일 캠페인이었다는 점; 두 운영 체제 모두에서의 사전 요구 사항 유인 메커니즘; 명령 및 제어 주소 91.92.242[.]30; 리버스 셸 및 .env 유출 이상치; 보고 기능; 그리고 위에서 설명한 파이프라인과의 VirusTotal 통합. 실제 피해는 의심할 여지가 없다 — Antiy는 단일 업로더가 올린, 여전히 접근 가능한 60개 패키지에서 14,285건의 다운로드를 기록했고, OpenSourceMalware는 한 게시자의 총 다운로드 수를 거의 7,000건으로 집계했다 — 그리고 페이로드가 노린 데이터는 바로 에이전트 호스트가 집중적으로 보관하는 데이터다: 지갑 키, 거래소 API 키, SSH 키, 클라우드 토큰, 브라우저 비밀번호.

Divergent: 위 섹션에서 설명한 이유에 따른 개수와 악성코드 패밀리 레이블.

적어도 이 기사가 확인할 수 있었던 어떤 발표물에서도 확립되지 않았다: 실제로 몇 명이 악성 스킬을 설치했는지, 얼마나 많은 자격 증명이 탈취되었는지, 또는 탈취된 자금이나 키가 추적된 적이 있는지 여부는. Antiy는 악성 스킬이 "수천 번 다운로드되어 Windows 및 macOS 사용자를 감염시켰다"고 말한다 — 이는 노출에 대한 평가일 뿐 피해자 수가 아니며, 어떤 발행자도 피해자 수를 제시하지 않았다. Koi가 발표한 시점에 341개 목록이 모두 활성 상태였는지도 마찬가지로 명시되지 않았다.

변치 않는 사실은 산수 rather than? No English. Korean only. "오래 남는 사실은 산술이 아니라 실패의 형태다. 누구나 게시할 수 있는 마켓플레이스가, 패키지를 설치한다는 것이 곧 에이전트의 자격 증명을 넘겨주는 것을 의미하는 생태계에서, 전체 익스플로잇이 사용자에게 무언가를 실행하라고 지시하는 README에 불과했던 캠페인을 만들어냈고, 첫 자동 방어는 6일 뒤에야 도착했는데 그것도 미끼를 통하게 만든 신뢰 모델이 아니라 시그니처와 모델 검토를 겨냥한 것이었다." Good. Need no markers. Output only.오래 남는 사실은 산술이 아니라 실패의 형태다. 누구나 게시할 수 있는 마켓플레이스가, 패키지를 설치한다는 것이 곧 에이전트의 자격 증명을 넘겨주는 것을 의미하는 생태계에서, 전체 익스플로잇이 사용자에게 무언가를 실행하라고 지시하는 README에 불과했던 캠페인을 만들어냈고, 첫 자동 방어는 6일 뒤에야 도착했는데 그것도 미끼를 통하게 만든 신뢰 모델이 아니라 시그니처와 모델 검토를 겨냥한 것이었다.