Infostealers beginnen OpenClaw-configs en gateway-tokens te oogsten

In februari 2026 heeft een gangbare informatie-stealer de configuratieomgeving van een OpenClaw-agent van een geïnfecteerde machine gehaald: het JSON-bestand met de gateway-token van de agent, het JSON-bestand met de apparaatondertekeningssleutel en de Markdown-bestanden die de persona en het geheugen definiëren. Hudson Rock, het bedrijf voor bedreigingsinlichtingen dat de bevinding publiceerde, noemde het een mijlpaal in het gedrag van stealers en beschreef een verschuiving van browserreferenties naar de identiteiten van persoonlijke AI-agenten; BleepingComputer meldde de bewering van het bedrijf dat dit het eerste in-the-wild geval van zijn soort was, en The Hacker News berichtte er die maand ook over. De stealer was niet gebouwd voor OpenClaw. Volgens Hudson Rock zocht een brede routine voor het buitmaken van bestanden naar gevoelige extensies en mapnamen zoals .openclaw en nam de map toevallig mee; daarom omschrijft het bedrijf de malware als iets dat op goud stuitte in plaats van op de agent te hebben gejaagd. Het archief registreert de episode als een credential-incident met hoge ernst bij betrouwbaarheid B, betwist: onwaar, met geregistreerde reële schade, en de Orca AI Incident Archive bevat deze registratie naast de naburige OpenClaw-vermeldingen, die elk op basis van hun eigen bewijs zijn beoordeeld.

Drie bestanden, en wat elk ervan ontsluit

OpenClaw, voorheen Clawdbot en Moltbot, is een zelfgehoste persoonlijke AI-agent die persistente status bewaart in bestanden op de eigen machine van de gebruiker. Het verslag van Hudson Rock, samengevat door The Hacker News en door BleepingComputer, somt drie zaken op die uit de OpenClaw-map van het slachtoffer afkomstig zijn. openclaw.json bevatte een gedeeltelijk geredigeerd Gmail-adres, het pad naar de workspace en een gatewaytoken met hoge entropie dat was opgeslagen onder gateway.auth.token. In de technische notitie van Hudson Rock staat dat een aanvaller met dat token op afstand verbinding kan maken met de lokale OpenClaw-instantie van het slachtoffer als de poort is blootgesteld, of zich kan voordoen als de client in geauthenticeerde verzoeken aan de AI-gateway.

device.json bevatte de publicKeyPem en privateKeyPem van het apparaat van de gebruiker, het sleutelpaar dat OpenClaw gebruikt voor koppeling en voor het ondertekenen van bewerkingen. Met de private helft kan een aanvaller, aldus Hudson Rock, berichten ondertekenen als het apparaat van het slachtoffer, mogelijk de controles voor "Safe Device" omzeilen en zo versleutelde logs of clouddiensten bereiken die aan dat apparaat zijn gekoppeld. soul.md bevatte samen met de geheugenbestanden AGENTS.md en MEMORY.md de werkingsprincipes, gedragsrichtlijnen en ethische grenzen van de agent, en volgens de beschrijving van het bedrijf waarschijnlijk ook dagelijkse logboeken van de activiteit van de gebruiker, privéberichten en agenda-afspraken — wat het een blauwdruk van het leven van de gebruiker noemt.

Eén detail in het relaas van de leverancier is het waard om van de rest te scheiden. Hudson Rock heeft de gestolen bestanden door zijn eigen AI-systeem, Enki, gehaald voor een geautomatiseerde risicobeoordeling, en de samenvatting van die output is dat tokens, sleutels en persoonlijke context samen neerkomen op een volledige compromittering van de digitale identiteit van de gebruiker. Dat is een risicomodel toegepast op de bestanden. Het is geen verslag van iets dat een aanvaller ermee heeft gedaan.

Het mechanisme was een allegaartje, geen checklistitem.

De samenvatting van het archief in één regel luidt dat agentreferenties "formeel op de standaardchecklist voor infostealers zijn beland". Het onderliggende document zegt iets nauwers. Hudson Rock is er expliciet over dat er geen OpenClaw-specifieke module bij betrokken was: de malware voerde een generieke routine uit die bestanden verzamelde op basis van extensie en mapnaam, en .openclaw voldeed daaraan. Alon Gal, medeoprichter en CTO van Hudson Rock, vertelde BleepingComputer dat de routine zocht naar bestanden en mappen met trefwoorden zoals "token" en "private key".

De speciale module is een voorspelling, geen waarneming. Hudson Rock schrijft dat naarmate agenten zoals OpenClaw sterker worden geïntegreerd in professionele workflows, ontwikkelaars van stealers waarschijnlijk modules zullen uitbrengen die specifiek zijn ontworpen om deze bestanden te ontsleutelen en te parsen, net zoals ze dat vandaag de dag voor Chrome of Telegram doen. Op 26 januari 2026 had hetzelfde bedrijf een bericht gepubliceerd met de titel ClawdBot: The New Primary Target for Infostealers in the AI Era, waarin werd betoogd dat de agent herinneringen, profielen en authenticatietokens opslaat in onversleutelde Markdown- en JSON-bestanden die vaak leesbaar zijn voor elk proces dat met de rechten van de gebruiker draait. De zaak van februari is de eerste keer dat het bedrijf meldt dat die voorspelling op een echte machine uitkomt.

Het onderscheid is niet louter academisch. Een toevallige sweep betekent dat de blootstelling een eigenschap is van waar de agent zijn geheimen bewaart, niet van het feit dat aanvallers hebben besloten op OpenClaw te jagen. Als parsers opduiken, worden dezelfde bestanden op schaal leesbaar in plaats van slechts verzamelbaar, en verschuift de verdedigingsvraag van mapmachtigingen naar wat een gatewaytoken en een apparaatsleutel nog kunnen bereiken zodra ze weg zijn.

Eén machine, één leverancier en een lange reeks herhalingen

Het bericht van Hudson Rock beschrijft één slachtoffer, in het enkelvoud, en publiceert screenshots van de mappenstructuur van één geïnfecteerde machine. Het zegt niet van hoeveel machines het sample afkomstig was, en geen van de voor dit artikel gelezen berichten voegt een tweede geval toe. Bill Toulas van BleepingComputer sprak rechtstreeks met Gal en vermeldt details die het bericht van Hudson Rock niet bevat — de toeschrijving aan Vidar en de op trefwoorden gebaseerde scanning — maar de onderliggende observatie is nog steeds één infectie, waargenomen door één leverancier. Infosecurity Magazine en SecurityAffairs herhaalden dezelfde bevinding binnen een dag na het bericht van Hudson Rock, en ThaiCERT herhaalde die bevinding in een advies op 25 februari 2026. Dat een nationale CERT een leveranciersrapport herhaalt, is versterking, geen onafhankelijke bevestiging.

Dat is wat het B-betrouwbaarheidsrecord van het archief vastlegt: gedocumenteerd, maar op basis van één enkele of secundaire bron. Het record is ook gedateerd op februari 2026 met maandprecisie; het verslag van BleepingComputer dateert de diefstal nauwkeuriger, maar het archief bevat alleen de maand, en dit artikel houdt vast aan de precisie van het archief. Niets dat voor dit artikel is gelezen, betwist het verslag van Hudson Rock, en het record is als onbetwist gemarkeerd. Het voorbehoud is geen tegenspraak. Het is dat de mijlpaalframing — het eerste live geval, de verschuiving van browsercredentials naar agentidentiteiten — een karakterisering is door het bedrijf dat het sample heeft gevonden, en er is geen openbare maatstaf waaraan kan worden getoetst of iets 'het eerste' is.

Er werd geen CVE toegewezen. In de bronnen die voor dit artikel zijn geraadpleegd, staat geen OpenClaw-beveiligingsadvies over deze diefstal, en geen enkele toezichthouder heeft er een eigen bevinding over gepubliceerd — het enige document uit overheidskringen dat is gevonden, is het advies van ThaiCERT, dat het rapport van Hudson Rock herhaalt. Anders dan bij een softwarefout is er bij dit incident geen patch om naar te wijzen, omdat de bestanden niets deden wat de software als verkeerd beschouwde. Ze stonden gewoon in leesbare tekst op schijf, naast de agent.

Wat het dossier niet vaststelt

• Geen enkele voor dit artikel gelezen bron laat zien dat een gestolen gateway-token of apparaatsleutel wordt gebruikt. De schade die Hudson Rock aanvoert, is steeds voorwaardelijk — "als de poort blootstaat", "mogelijk omzeilen" — en de berichtgeving die deze herhaalt, voegt geen aangetoonde inbraak toe.

• Het bedrijf dat de toeschrijving aan Vidar heeft gedaan, doet dit met de nodige voorzichtigheid. Gal beschreef het sample op basis van de infectiedetails als waarschijnlijk een variant van Vidar, een kant-en-klare stealer die sinds eind 2018 actief is; in de hier gelezen bronnen lijkt geen gepubliceerde hash, sampleanalyse of familievergelijking te staan.

• Het aantal getroffen gebruikers is onbekend. Hudson Rock meldde één slachtoffer en gaf geen aantal extra machines, en geen latere berichtgeving die voor dit artikel is gevonden, verschafte dat aantal.

• Geen van de hier gelezen bronnen stelt vast of het gestolen materiaal is verhandeld, verkocht of door een criminele dienst geïndexeerd.

De werkelijke schade die het record markeert, is de exfiltratie zelf: de inloggegevens en sleutels van een echte machine hebben de machine verlaten. Dat is een lagere drempel dan een overname, en het record beweert geen overname.

Wat al veranderd was, en wat het niet dekte

OpenClaw kondigde op 7 februari 2026 een partnerschap met VirusTotal aan, voordat Hudson Rock zijn verslag publiceerde. De regeling scant elke skill die naar ClawHub wordt geüpload — door deze te verpakken, er een hash van te maken, de hash tegen VirusTotal te controleren en VirusTotal's Code Insight-analyse uit te voeren op alles wat nog niet eerder is gezien — en het project combineerde dit met een dreigingsmodel en een audit voor mogelijke verkeerde configuraties. Het richt zich op de marktplaats. Het versleutelt openclaw.json op de schijf van een gebruiker niet, en het doet niets aan malware die al op het endpoint draait en de thuismap leest, wat de vector in dit record is.

Het dichtst bij richtlijnen voor deze tekortkoming komt adviserend in plaats van technisch. De ThaiCERT-notitie van 25 februari 2026 herhaalt de bevinding van Hudson Rock en beveelt aan agents te draaien in sandboxed virtuele machines of containers met minimale privileges, directe toegang tot gevoelige gegevens te vermijden, de bron van elke geïnstalleerde skill te verifiëren, activiteitenlogboeken te monitoren en een incidentresponsplan voor te bereiden dat volledige systeemresets en credentialrotatie omvat. OpenClaw's eigen openbare verslag van zijn beveiligingswerk, gepubliceerd in april 2026, stelt dat secrets zijn verschoven van "wees alsjeblieft voorzichtig" naar verwijzingen, zodat inloggegevens niet in prompts, logs, transcripties of agentstatus terechtkomen — dezelfde richting, hoewel dat bericht niet ingaat op de configuratiebestanden die Hudson Rock documenteerde.

Waar op te letten valt, is of er speciale parsers verschijnen. De voorspelling van Hudson Rock is dat dit zal gebeuren, en zijn januariebericht is de reden om die voorspelling serieus te nemen, in plaats van dat de februari-sample er het bewijs van is. Tot die tijd staat het te boek als één enkele, goed gedocumenteerde diefstal: plaintext-agentstatus, ontvreemd door een stealer die er niet naar op zoek was, waarbij de schade door de leverancier is ingeschat in plaats van in het wild waargenomen.