인포스틸러, OpenClaw 구성 파일과 게이트웨이 토큰 수집 시작

2026년 2월, 일반 정보 탈취 악성코드가 감염된 장비에서 OpenClaw 에이전트의 구성 환경을 빼냈다. 즉 에이전트의 게이트웨이 토큰이 담긴 JSON 파일, 장치 서명 키가 담긴 JSON 파일, 그리고 에이전트의 페르소나와 메모리를 정의하는 Markdown 파일이다. 이 발견을 발표한 위협 인텔리전스 업체 Hudson Rock은 이를 탈취 악성코드 행태의 이정표라고 부르며, 브라우저 자격 증명에서 개인 AI 에이전트의 정체성으로의 전환을 설명했다. BleepingComputer는 이것이 이런 종류의 첫 실제 환경 사례라는 업체의 주장을 보도했고, The Hacker News도 그달에 이를 보도했다. 이 탈취 악성코드는 OpenClaw를 위해 만들어지지 않았다. Hudson Rock의 설명에 따르면, 광범위한 파일 수집 루틴이 민감한 확장자와 .openclaw 같은 디렉터리 이름을 훑었고 해당 폴더를 우연히 가져갔으며, 그래서 이 업체는 이 악성코드가 에이전트를 사냥한 것이 아니라 대박을 쳤다고 표현한다. 아카이브는 이 사건을 신뢰도 B, 이의 제기됨 false, 실제 피해 기록됨 상태의 고심각도 자격 증명 사고로 기록한다. Orca AI Incident Archive는 인접한 OpenClaw 항목들과 함께 이 기록을 보관하며, 각 항목은 자체 증거로 등급이 매겨진다.

세 개의 파일, 그리고 각 파일이 잠금 해제하는 것

OpenClaw는 이전에는 Clawdbot과 Moltbot으로 불렸으며, 사용자 자신의 컴퓨터에 있는 파일에 지속 상태를 유지하는 자체 호스팅 개인 AI 에이전트입니다. The Hacker News와 BleepingComputer가 요약한 Hudson Rock의 보고서에는 피해자의 OpenClaw 디렉터리에서 가져온 세 가지 항목이 나열되어 있습니다. openclaw.json에는 부분적으로 가려진 Gmail 주소, 워크스페이스 경로, 그리고 gateway.auth.token 아래에 저장된 고엔트로피 게이트웨이 토큰이 포함되어 있었습니다. Hudson Rock의 기술 노트에 따르면, 해당 토큰을 이용하면 공격자가 포트가 노출된 경우 피해자의 로컬 OpenClaw 인스턴스에 원격으로 연결하거나, AI 게이트웨이에 대한 인증된 요청에서 클라이언트로 위장할 수 있습니다.

device.json에는 사용자 기기의 publicKeyPem 및 privateKeyPem, 즉 OpenClaw가 페어링과 서명 작업에 사용하는 키 쌍이 들어 있었습니다. Hudson Rock에 따르면, 공격자는 개인 키 부분을 이용해 피해자 기기인 것처럼 메시지에 서명할 수 있으며, 잠재적으로 "Safe Device" 검사를 우회하고 해당 기기와 페어링된 암호화 로그나 클라우드 서비스에 접근할 수 있습니다. soul.md는 메모리 파일 AGENTS.md 및 MEMORY.md와 함께 에이전트의 운영 원칙, 행동 지침, 윤리적 경계를 담고 있었고, 이 회사의 설명에 따르면 사용자의 활동, 비공개 메시지, 캘린더 이벤트에 대한 일일 로그—회사가 사용자 삶의 청사진이라고 부르는 것—도 담고 있었을 가능성이 큽니다.

업체 설명에서 한 가지 세부 사항은 나머지와 분리해 볼 만하다. Hudson Rock은 도난당한 파일을 자체 AI 시스템인 Enki에 통과시켜 자동화된 위험 평가를 수행했으며, 그 출력에 대한 요약은 토큰, 키, 개인적 맥락이 함께 사용자의 디지털 신원에 대한 완전한 침해에 해당한다는 것이다. 그것은 파일에 적용된 위험 모델이다. 공격자가 그 파일로 무엇을 했는지에 대한 기록은 아니다.

그 메커니즘은 체크리스트 항목이 아니라 잡다한 모음이었다

아카이브의 한 줄 요약에는 에이전트 자격 증명이 "공식적으로 표준 인포스틸러 체크리스트에 진입했다"고 적혀 있습니다. 그 아래 문서는 더 좁은 내용을 말합니다. Hudson Rock은 OpenClaw 전용 모듈은 관여하지 않았다고 분명히 밝힙니다. 악성코드는 파일 확장자와 디렉터리 이름을 기준으로 파일을 수집하는 일반 루틴을 실행했고, .openclaw가 여기에 해당했습니다. Hudson Rock의 공동 창립자 겸 CTO인 Alon Gal은 BleepingComputer에 해당 루틴이 "token" 및 "private key" 같은 키워드가 포함된 파일과 디렉터리를 스캔했다고 말했습니다.

전용 모듈은 관측이 아니라 예측입니다. Hudson Rock은 OpenClaw 같은 에이전트가 전문 워크플로에 더 많이 통합될수록, 스틸러 개발자들이 오늘날 Chrome이나 Telegram용으로 그러는 것처럼 이 파일들을 복호화하고 파싱하도록 특별히 설계된 모듈을 출시할 가능성이 높다고 밝힙니다. 2026년 1월 26일, 같은 회사는 ClawdBot: The New Primary Target for Infostealers in the AI Era라는 제목의 글을 게시하며, 해당 에이전트가 기억, 프로필, 인증 토큰을 평문 Markdown 및 JSON으로 보관하고 있으며 이는 사용자 권한으로 실행되는 모든 프로세스가 흔히 읽을 수 있다고 주장했습니다. 2월 사례는 그 예측이 실제 머신에서 실현되었다고 보고된 첫 사례입니다.

이 구분은 이론적인 것이 아니다. 우연적인 수집이 일어난다는 것은 노출이 공격자들이 OpenClaw를 사냥하기로 결정했기 때문이 아니라, 에이전트가 비밀을 보관하는 위치의 속성이라는 뜻이다. 파서가 등장하면 같은 파일들은 단순히 수집 가능한 데 그치지 않고 대규모로 읽을 수 있게 되며, 방어 관점의 질문은 디렉터리 권한에서 게이트웨이 토큰과 디바이스 키가 사라진 뒤에도 여전히 무엇에 접근할 수 있는가로 옮겨간다.

한 대의 기계, 한 공급업체, 그리고 길게 이어지는 반복의 흔적

Hudson Rock의 게시글은 단수인 피해자 한 명을 설명하고, 감염된 컴퓨터 한 대의 디렉터리 트리 스크린샷을 공개한다. 이 글은 샘플이 몇 대의 컴퓨터에서 나왔는지 말하지 않으며, 이 기사를 위해 읽은 어떤 보도도 두 번째 사례를 추가하지 않는다. BleepingComputer의 Bill Toulas는 Gal과 직접 이야기했고 Hudson Rock 게시글에는 없는 세부 사항—Vidar 귀속과 키워드 기반 스캔—을 전하지만, 근본적인 관찰은 여전히 한 벤더가 본 한 건의 감염이다. Infosecurity Magazine과 SecurityAffairs는 Hudson Rock 게시글 하루 안에 같은 발견을 다시 말했고, ThaiCERT는 2026년 2월 25일 권고문에서 이를 반복했다. 국가 CERT가 벤더 보고서를 반복하는 것은 증폭이지 독립적 확인이 아니다.

아카이브의 신뢰도 B 기록이 말하는 바가 바로 이것이다: 문서화되었지만 단일 출처 또는 2차 출처에서 나온 것이다. 이 기록은 또한 2026년 2월로, 월 단위 정밀도로 날짜가 표시되어 있다. BleepingComputer의 보도는 해당 절도 시점을 더 좁게 특정하지만, 아카이브에는 월만 담겨 있고 이 기사는 아카이브의 정밀도를 따른다. 이 기사를 위해 읽은 어떤 내용도 Hudson Rock의 설명에 이의를 제기하지 않으며, 기록은 이견 없음으로 표시되어 있다. 유의점은 모순이 아니다. 그것은 이정표 프레이밍—최초의 실제 사례, 브라우저 자격 증명에서 에이전트 신원으로의 전환—이 표본을 발견한 회사에 의한 특징 규정이며, "최초"를 확인할 수 있는 공개 기준선이 없다는 점이다.

CVE는 부여되지 않았다. 이번 기사에서 참고한 자료들에는 이번 탈취 사건을 다루는 OpenClaw 보안 권고문이 나오지 않으며, 이에 대해 규제 기관이 자체적으로 발표한 조사 결과도 없다. 확인된 정부 관련 문서는 Hudson Rock의 보고서를 다시 서술한 ThaiCERT의 권고문뿐이다. 소프트웨어 결함과 달리 이 사건에는 가리킬 패치가 없다. 해당 파일들은 소프트웨어가 잘못된 것으로 처리한 동작을 하고 있지 않았기 때문이다. 그 파일들은 에이전트 옆 디스크에 평문으로 놓여 있었다.

기록이 입증하지 못하는 것

• 이 기사에서 검토한 어떤 출처도 탈취된 게이트웨이 토큰이나 기기 키가 사용되는 사례를 보여주지 않는다. Hudson Rock이 제시한 위험은 전반적으로 조건부다. "포트가 노출되면", "잠재적으로 우회할 수 있다"는 식이며, 이를 그대로 반복하는 보도들도 입증된 침입 사례를 추가하지는 않는다.

• Vidar 귀속 주장은 이를 제기한 업체 스스로가 단정하지 않고 유보적으로 표현했다. Gal은 감염 세부 정황을 근거로 해당 샘플이 2018년 말부터 활동해 온 기성품 정보 탈취 악성코드인 Vidar의 변종일 가능성이 있다고 설명했으며, 여기서 검토한 자료들에는 공개된 해시, 샘플 분석 또는 계열 비교가 나타나지 않는다.

• 영향받은 사용자 수는 알려지지 않았다. Hudson Rock은 피해자 한 명을 보고했을 뿐 추가 기기 수는 밝히지 않았으며, 이 기사를 위해 확인된 이후의 보도에서도 그 수를 제시한 사례는 없었다.

• 탈취된 자료가 어떤 범죄 서비스에 의해 거래되거나 판매되거나 색인되었는지는 여기에서 검토한 어떤 출처로도 확인되지 않는다.

• 기록이 지목하는 실제 피해는 유출 그 자체입니다. 실제 머신의 자격 증명과 키가 해당 머신 밖으로 나갔다는 것입니다. 이는 장악보다 낮은 기준이며, 기록은 장악을 주장하지 않습니다.

이미 바뀌어 있던 것, 그리고 그것이 다루지 못한 것

OpenClaw는 Hudson Rock이 해당 사건을 공개하기 전인 2026년 2월 7일에 VirusTotal과의 파트너십을 발표했다. 이 협약은 ClawHub에 업로드되는 모든 스킬을 검사한다. 즉, 패키징하고, 해시를 생성하고, 그 해시를 VirusTotal과 대조하며, 한 번도 본 적 없는 항목에는 VirusTotal의 Code Insight 분석을 실행한다. 그리고 이 프로젝트는 이를 잠재적 오구성에 대한 위협 모델 및 감사와 함께 내놓았다. 이는 마켓플레이스를 대상으로 한다. 사용자 디스크의 openclaw.json을 암호화하지 않으며, 엔드포인트에서 이미 실행 중이면서 홈 디렉터리를 읽고 있는 악성코드에 대해서는 아무것도 하지 않는다. 이것이 이 기록에서의 공격 벡터이다.

이 실패를 겨냥한 지침에 가장 가까운 것은 기술적 권고라기보다 조언 성격의 안내다. ThaiCERT의 2026년 2월 25일 노트는 Hudson Rock의 발견을 반복하며, 최소 권한 아래 샌드박스된 가상 머신이나 컨테이너에서 에이전트를 실행하고, 민감한 데이터에 대한 직접 접근을 피하고, 설치된 모든 스킬의 출처를 검증하고, 활동 로그를 모니터링하며, 전체 시스템 재설정과 자격 증명 교체를 포함하는 사고 대응 계획을 준비할 것을 권고한다. 2026년 4월에 공개된 OpenClaw 자체의 보안 작업에 대한 공개 설명에 따르면, 비밀 정보는 자격 증명이 프롬프트, 로그, 대화 기록 또는 에이전트 상태에 남지 않도록 'please be careful'에서 참조 방식으로 옮겨졌다. 방향은 같지만, 그 게시물은 Hudson Rock이 문서화한 구성 파일은 다루지 않는다.

주목할 점은 전용 파서가 등장하는지 여부다. Hudson Rock은 그럴 것이라고 예측하며, 2월 샘플이 그 예측의 증거인 것이 아니라 1월 게시물이 이 예측을 진지하게 받아들여야 하는 이유다. 그때까지 이 기록은 단 한 건의 잘 문서화된 절도로 남는다. 평문 에이전트 상태가 그것을 노리지 않던 스틸러에 의해 탈취되었고, 피해는 실제 환경에서 관찰된 것이 아니라 공급업체에 의해 평가되었다.