ClawHavoc: 341 kwaadaardige ClawHub-skills en een aantal dat maar bleef veranderen

Op 1 februari 2026 publiceerde beveiligingsbedrijf Koi Security een audit van ClawHub, de skillmarktplaats die verbonden is aan de opensource-AI-agent OpenClaw: van de 2.857 daar vermelde skills meldde het er 341 als kwaadaardig, waarvan 335 herleid werden tot één gecoördineerde operatie die het ClawHavoc noemde. Dat is iets minder dan 12 procent van de marktplaats. De belangrijkste payload was Atomic Stealer, bekend als AMOS, een gangbare macOS-infostealer die volgens The Hacker News voor ongeveer $500–1.000 per maand te huur is, en die kwam binnen via de stap die gebruikers het meest gewend zijn zonder nadenken uit te voeren — een sectie "Prerequisites" die hun zegt eerst nog één ding te installeren. Windows-gebruikers werden gewezen op een met wachtwoord beveiligde ZIP op GitHub; macOS-gebruikers op een shellcommando dat op glot.io werd gehost, met de instructie het in Terminal te plakken. De eigen vermelding van het archief voor de campagne, met de bijbehorende ernst- en betrouwbaarheidsgraden, staat in het Orca AI Incident Archive naast de andere supplychainincidenten die die week zijn geregistreerd.

Waar Koi eigenlijk naar keek

ClawHub is een communitymarktplaats naast OpenClaw, een zelfgehoste AI-assistent die voorheen bekendstond als Clawdbot en Moltbot. Skills zijn het uitbreidingsmechanisme: verpakte instructies plus scripts die de agent leren een specifieke taak uit te voeren — een Solana-wallet lezen, een YouTube-video samenvatten, prijzen op Polymarket volgen. Een ervan installeren betekent dat je het dezelfde reikwijdte geeft als de agent heeft.

Koi voerde zijn audit uit met een eigen OpenClaw-bot, genaamd Alex, volgens het rapport van The Hacker News van 2 februari. De onderzoeker die in dat rapport wordt geciteerd, Oren Yomtov, beschreef de lokmethode in duidelijke bewoordingen: "Je installeert iets dat op een legitieme skill lijkt — misschien solana-wallet-tracker of youtube-summarize-pro. De documentatie van de skill ziet er professioneel uit. Maar er is een sectie 'Prerequisites' die zegt dat je eerst iets moet installeren."

De reden dat er überhaupt een markt was om te vergiftigen, is dat ClawHub standaard open was. The Hacker News meldde dat iedereen kon uploaden, en de enige beperking destijds was dat het GitHub-account van de uitgever minstens een week oud moest zijn. Koi's eigen rapport beschreef het platform als hebbende "vrijwel geen beveiligingsreviewmechanismen", een zin die Antiy CERT in zijn eigen analyse citeert.

Hoe de payload aankwam

De levering verschilde per besturingssysteem, maar de vorm was hetzelfde: de vaardigheid zelf is grotendeels onschadelijk, en de schade zit in de installatie-instructies.

• Op Windows linkte de documentatie naar een GitHub-release met een met een wachtwoord beveiligde ZIP. Daarin zat een trojan met keylogging-mogelijkheden, gericht op API-sleutels, inloggegevens en al het andere dat de bot op die machine al kon bereiken — wat op een agenthost heel veel is. Het rapport van Antiy CERT zegt dat de archieven meestal een van drie wachtwoorden bevatten (1202, openclaw of 1234) en wijst op het doel van de versleuteling: het loodst het bestand langs GitHubs eigen scanning en langs realtime scanning op de machine van het slachtoffer.

Op macOS vertelde de documentatie gebruikers om een script te kopiëren dat werd gehost op glot[.]io en het in Terminal te plakken. Het script voerde verduisterde shell-opdrachten uit, nam contact op met 91.92.242[.]30 voor een tweede script, en dat script haalde een universele Mach-O-binary op — één build voor zowel Intel als Apple Silicon.

Koi stelde vast dat dat binaire bestand kenmerken vertoonde die overeenkomen met AMOS. OpenSourceMalware, de onderzoeksorganisatie van Paul McCarty, meldde dezelfde campagne op dezelfde dag en beoordeelde zijn eigen sample iets anders: waarschijnlijk een nieuwe NovaStealer-variant. De twee rapporten zijn het eens over de infrastructuur, het lokaas en de beoogde gegevens — API-sleutels voor exchanges, walletbestanden, gegevens van browserextensies waaronder MetaMask, seed phrases, de macOS Keychain, opgeslagen browserwachtwoorden, SSH-sleutels, cloud- en Git-inloggegevens, .env-bestanden — maar niet precies over het familielabel. Beide toeschrijvingen zijn afkomstig van de onderzoekers zelf.

Niet elke kwaadaardige skill was een ClawHavoc-lokmiddel voor vereisten. Koi meldde skills — waaronder better-polymarket en polymarket-all-in-one — die reverse-shell-achterdeuren verborgen in verder werkende code, zodat de compromittering bij normaal gebruik plaatsvond in plaats van bij installatie. Een andere, rankaj, stuurde botreferenties die waren opgeslagen in ~/.clawdbot/.env naar een webhook[.]site-endpoint. Namen waren gemaakt om bij snel lezen verkeerd te worden gelezen: clawhubb, cllawhub, clawwhub, clawhubcli, naast lookalikes van crypto, YouTube, auto-updater en Google Workspace.

Antiy CERT voegt een detail toe dat het vermelden waard is als zijn beoordeling in plaats van een bevinding: het zegt dat de ondersteunende documentatie bij deze vaardigheden 500–700 regels lang is en "waarschijnlijk zelf door AI gegenereerd". Dat is een gevolgtrekking op basis van de lengte en consistentie van de documenten, niet iets wat het rapport bewijst.

De telling is niet één getal

Het cijfer dat ClawHavoc achtervolgt, is niet stabiel, en de reden daarvoor is dat de audits op verschillende dagen verschillende vragen beantwoordden.

Koi's 341 is een telling van live vermeldingen op het moment van zijn sweep: 341 kwaadaardige vermeldingen van de 2.857 skills die het onderzocht, waarvan 335 uit één campagne. De cijfers van OpenSourceMalware beschrijven een publicatiegolf in plaats van een momentopname van de marktplaats — 28 kwaadaardige skills gepubliceerd tussen 27 en 29 januari, daarna nog 386 tussen 31 januari en 2 februari, toegeschreven aan zeven uitgeversaccounts, waarbij 354 van de tweede batch van één account afkomstig waren, hightower6eu. Antiy CERT's 1.184 is een telling van geschiedenis: kwaadaardige pakketten die het in de repository van ClawHub had geïdentificeerd per 5 februari, toegeschreven aan 12 auteurs-ID's, met hightower6eu op 677 en sakaen736jih op 390. Antiy noteerde ook dat 60 pakketten van één uploader, moonshine-100rze, bij publicatie nog toegankelijk waren en 14.285 downloads hadden verzameld, en dat het platform 3.498 skills bevatte nadat de grootschalige verwijderingen waren uitgevoerd.

Dan is er 824. Het archief vermeldt het cijfer als een latere herziening, maar het herleidt niet tot een gedateerde primaire publicatie zoals de andere cijfers tot Koi, OpenSourceMalware en Antiy herleiden. Waar het opduikt, is in latere commentaren van derden — bijvoorbeeld een Hacker News-post uit maart 2026 van de auteur van een skillscanner, die "824 kwaadaardige skills (20% van ClawHub)" beschrijft zonder de audit erachter te noemen. De rekensom daar sluit ook niet aan op de andere gepubliceerde cijfers: 824 is iets minder dan 29 procent van 2.857, dus de "20 procent" impliceert opnieuw een andere, niet vermelde noemer. Behandel het als een cijfer dat in omloop is, niet als een cijfer met een gepubliceerde methodologie. Dezelfde voorzichtigheid geldt voor de "1.200+"-varianten die in latere artikelen opduiken.

Geen van deze is zozeer fout als wel niet vergelijkbaar: vermeldingen op één moment, publicaties over een periode en de volledige geschiedenis van een repository zijn drie verschillende noemers, en een typosquat-variant kan één vermelding of meerdere zijn, afhankelijk van hoe de teller ze heeft gegroepeerd.

Wat OpenClaw veranderde

Twee dingen, beide binnen de week die volgde op Koi's onthulling.

De eerste was een melding door een gebruiker. Hacker News meldde dat de maker van OpenClaw, Peter Steinberger, een functie heeft uitgebracht waarmee ingelogde gebruikers een skill kunnen markeren, met documentatie die stelt dat elke gebruiker maximaal 20 actieve meldingen mag hebben en dat "skills met meer dan 3 unieke meldingen standaard automatisch worden verborgen." Dat is een triagemechanisme, geen scanner, en het hangt ervan af dat iemand het als eerste opmerkt.

De tweede was het VirusTotal-partnerschap, aangekondigd door OpenClaw op 7 februari 2026. Zoals beschreven in het eigen bericht van OpenClaw: elke skillbundel wordt deterministisch verpakt in een ZIP met consistente compressie en tijdstempels plus een _meta.json met uitgevers- en versiegegevens; er wordt een SHA-256-hash gegenereerd; de hash wordt gecontroleerd tegen de threat intelligence van VirusTotal, en als er geen oordeel bestaat, wordt de bundel geüpload via de v3 API van VirusTotal. Code Insight van VirusTotal — een door een LLM aangestuurde beoordeling waarvan het bericht van OpenClaw zegt dat die "powered by Gemini" is — leest het hele pakket vanaf SKILL.md. Oordelen bepalen de actie: goedaardige skills worden automatisch goedgekeurd, verdachte skills krijgen een waarschuwing maar blijven zichtbaar, kwaadaardige skills worden geblokkeerd voor download. Alle actieve skills worden dagelijks opnieuw gescand, en vermoedelijke valse positieven gaan naar [email protected].

OpenClaw was in dezelfde post expliciet over de beperkingen: het noemde de integratie "geen wondermiddel" en waarschuwde dat "een schone scan niet betekent dat een skill veilig is", omdat manipulatie via natuurlijke taal en promptinjectie mogelijk niet worden opgemerkt door signaturen of een dreigingsdatabase. De beoordeling van Antiy CERT komt van buitenaf tot dezelfde conclusie: de meldfunctie wordt noodzakelijk genoemd, maar verre van voldoende, en er wordt betoogd dat verdediging op de schaal van de store statische analyse, code- en semantische analyse, sandboxuitvoering en een responseteam erachter nodig heeft.

Wat is vastgesteld, en wat niet

Eerst een opmerking over de bronnen, want die is van belang voor alles hierboven. Koi's oorspronkelijke bericht is niet meer bereikbaar op het gepubliceerde adres. De door het archief aangehaalde koi.ai-URL verwijst nu door naar een productpagina van Palo Alto Networks Cortex, na de overname van Koi door Palo Alto Networks, die het bedrijf op 14 april 2026 als afgerond aankondigde. De cijfers en citaten van Koi hier zijn dus afkomstig van media die het rapport lazen toen het nog online stond — The Hacker News op 2 februari, eSecurity Planet op 3 februari, Gadget Review op 11 februari — en van Antiy CERT, dat het Koi-rapport rechtstreeks aanhaalt in zijn eigen analyse van februari. Koi's bericht zelf kon voor dit artikel niet worden gelezen.

Vastgesteld: dat Koi 2.857 skills heeft gecontroleerd en 341 kwaadaardige heeft gemeld, waarvan 335 uit één campagne; het lokmechanisme via vereisten op beide besturingssystemen; het command-and-controladres 91.92.242[.]30; de reverse-shell- en .env-exfiltratie-uitschieters; de rapportagefunctie; en de VirusTotal-integratie met de hierboven beschreven pipeline. Echte schade staat buiten kijf — Antiy registreerde 14.285 downloads over 60 nog toegankelijke pakketten van één uploader, en OpenSourceMalware schatte het totaal van één uitgever op bijna 7.000 downloads — en de gegevens waarop de payloads het gemunt hadden, zijn precies de gegevens die een agenthost concentreert: wallet-sleutels, exchange-API-sleutels, SSH-sleutels, cloudtokens, browserwachtwoorden.

Divergent: het aantal, om de redenen in de bovenstaande sectie, en het label van de malwarefamilie.

Niet vastgesteld, althans in niets dat gepubliceerd is en dat dit artikel kon lezen: hoeveel mensen daadwerkelijk een kwaadaardige skill hebben geïnstalleerd, hoeveel inloggegevens zijn gestolen, of een van de gestolen fondsen of sleutels is getraceerd. Antiy zegt dat kwaadaardige skills "duizenden keren zijn gedownload en Windows- en macOS-gebruikers hebben geïnfecteerd" — dat is een inschatting van blootstelling, niet een slachtofferaantal, en geen enkele uitgever heeft dat aantal geproduceerd. Of alle 341 vermeldingen live stonden op het moment dat Koi publiceerde, wordt evenmin vermeld.

Het blijvende feit is de vorm van het falen, niet de rekenkundige details. Een marktplaats waar iedereen kon publiceren, in een ecosysteem waarin het installeren van een pakket betekent dat je het de inloggegevens van de agent geeft, bracht een campagne voort waarvan de hele exploit een README was die de gebruiker zei iets uit te voeren — en de eerste geautomatiseerde verdediging kwam zes dagen later, gericht op signaturen en modelbeoordeling in plaats van op het vertrouwensmodel dat het lokaas liet werken.