ClawHavoc: 341 złośliwych umiejętności ClawHub i stale zmieniająca się liczba

1 lutego 2026 r. firma zajmująca się bezpieczeństwem Koi Security opublikowała audyt ClawHub, marketplace’u umiejętności powiązanego z otwartoźródłowym agentem AI OpenClaw: spośród 2 857 wymienionych tam umiejętności 341 zgłosiła jako złośliwe, a 335 z nich powiązała z jedną skoordynowaną operacją, którą nazwała ClawHavoc. To nieco mniej niż 12 procent marketplace’u. Głównym ładunkiem był Atomic Stealer, znany jako AMOS, powszechnie dostępny infostealer dla macOS, który według The Hacker News można wynająć za około 500–1000 dolarów miesięcznie; dotarł on przez krok, który użytkownicy wykonują najbardziej odruchowo, bez myślenia — sekcję „Prerequisites”, każącą najpierw zainstalować jeszcze jedną rzecz. Użytkowników systemu Windows kierowano do zabezpieczonego hasłem pliku ZIP w serwisie GitHub, a użytkowników macOS — do polecenia powłoki hostowanego na glot.io, z poleceniem wklejenia go do aplikacji Terminal. Własny wpis archiwum dotyczący kampanii, wraz z ocenami ważności i pewności, znajduje się w Orca AI Incident Archive obok innych incydentów w łańcuchu dostaw odnotowanych w tym tygodniu.

Na co Koi faktycznie patrzył

ClawHub to społecznościowy marketplace działający obok OpenClaw – samodzielnie hostowanego asystenta AI, wcześniej znanego jako Clawdbot i Moltbot. Umiejętności (Skills) to mechanizm rozszerzeń: spakowane instrukcje oraz skrypty, które uczą agenta konkretnej czynności — odczytu portfela Solana, streszczenia filmu z YouTube, śledzenia cen na Polymarket. Instalacja takiej umiejętności oznacza przyznanie jej takiego samego dostępu, jaki ma agent.

Koi przeprowadził swój audyt za pomocą własnego bota OpenClaw o imieniu Alex, zgodnie z raportem The Hacker News z 2 lutego. Cytowany w tym raporcie badacz, Oren Yomtov, opisał tę przynętę prosto: „Instalujesz coś, co wygląda na prawdziwą umiejętność — może solana-wallet-tracker albo youtube-summarize-pro. Dokumentacja tej umiejętności wygląda profesjonalnie. Ale jest sekcja „Wymagania wstępne”, która mówi, że najpierw trzeba coś zainstalować”.

To, że w ogóle istniał rynek, który można było zatruć, wynikało z tego, że ClawHub był domyślnie otwarty. The Hacker News podał, że każdy mógł przesyłać pliki, a jedynym ówczesnym ograniczeniem było to, że konto wydawcy na GitHubie musiało istnieć co najmniej tydzień. Własny raport Koi opisywał platformę jako mającą „praktycznie żadnych mechanizmów przeglądu bezpieczeństwa”; ten fragment Antiy CERT cytuje w swojej własnej analizie.

Jak dotarł ładunek

Sposób dostarczenia różnił się w zależności od systemu operacyjnego, ale kształt był ten sam: sama umiejętność jest w większości nieszkodliwa, a szkoda tkwi w instrukcjach instalacji.

• W systemie Windows dokumentacja linkowała do wydania na GitHubie zawierającego chroniony hasłem plik ZIP. W środku znajdował się trojan z możliwością rejestrowania klawiszy, ukierunkowany na klucze API, dane uwierzytelniające i wszystko inne, do czego bot na tej maszynie już miał dostęp — a na hoście agenta to bardzo wiele. Raport Antiy CERT podaje, że archiwa zazwyczaj miały jedno z trzech haseł (1202, openclaw lub 1234), i wskazuje cel szyfrowania: pozwala ono plikowi przejść przez własne skanowanie GitHuba oraz przez skanowanie w czasie rzeczywistym na maszynie ofiary.

• W systemie macOS dokumentacja instruowała użytkowników, aby skopiowali skrypt hostowany pod adresem glot[.]io i wkleili go do Terminala. Skrypt uruchamiał zaciemnione polecenia powłoki, łączył się z 91.92.242[.]30 w celu pobrania drugiego skryptu, a ten skrypt pobierał uniwersalny plik binarny Mach-O — jedną kompilację zarówno dla Intel, jak i Apple Silicon.

Koi ocenił, że ten plik binarny wykazuje cechy zgodne z AMOS. OpenSourceMalware, firma badawcza prowadzona przez Paula McCarty'ego, zgłosiła tę samą kampanię tego samego dnia i nieco inaczej oceniła własną próbkę: prawdopodobnie nowy szczep NovaStealer. Oba raporty zgadzają się co do infrastruktury, przynęty i danych docelowych — kluczy API giełd, plików portfeli, danych rozszerzeń przeglądarki, w tym MetaMask, fraz seed, pęku kluczy macOS, zapisanych haseł przeglądarki, kluczy SSH, poświadczeń chmury i Git, .env plików — ale nie dokładnie co do etykiety rodziny. Obie atrybucje pochodzą od samych badaczy.

Nie każda złośliwa umiejętność była wabikiem opartym na warunkach wstępnych ClawHavoc. Koi zgłosił umiejętności — w tym better-polymarket i polymarket-all-in-one — które ukrywały backdoory reverse shell w skądinąd działającym kodzie, więc przejęcie następowało przy normalnym użytkowaniu, a nie przy instalacji. Kolejna, rankaj, wysyłała dane uwierzytelniające bota przechowywane w ~/.clawdbot/.env do punktu końcowego webhook[.]site. Nazwy zbudowano tak, by były mylone przy szybkim czytaniu: clawhubb, cllawhub, clawwhub, clawhubcli, obok fałszywek podszywających się pod crypto, YouTube, auto-updater i Google Workspace.

Antiy CERT dodaje szczegół, który warto wyróżnić jako jego ocenę, a nie ustalenie: twierdzi, że dokumentacja pomocnicza dotycząca tych umiejętności liczy 500–700 linii i „prawdopodobnie sama została wygenerowana przez AI”. To wnioskowanie oparte na długości i spójności dokumentów, a nie coś, co raport dowodzi.

Liczba nie jest pojedynczą liczbą

Liczba, która towarzyszy ClawHavoc na każdym kroku, nie jest stabilna, a powodem jest to, że audyty odpowiadały na różne pytania w różne dni.

Liczba 341 Koi to liczba aktywnych ofert w momencie jej skanowania: 341 złośliwych wpisów spośród 2 857 umiejętności, które zbadała, z czego 335 należało do jednej kampanii. Liczby OpenSourceMalware opisują falę publikacji, a nie migawkę rynku — 28 złośliwych umiejętności opublikowanych między 27 a 29 stycznia, a następnie 386 kolejnych między 31 stycznia a 2 lutego, przypisanych siedmiu kontom wydawców, przy czym 354 z drugiej partii pochodziło z jednego konta, hightower6eu. Liczba 1 184 z Antiy CERT to liczba dotycząca historii: złośliwe pakiety, które zidentyfikowała w repozytorium ClawHub na dzień 5 lutego, przypisane do 12 identyfikatorów autorów, przy czym hightower6eu miał 677, a sakaen736jih 390. Antiy odnotowała również, że 60 pakietów od jednego podmiotu publikującego, moonshine-100rze, było nadal dostępnych w momencie publikacji i zgromadziło 14 285 pobrań, oraz że platforma zawierała 3 498 umiejętności po zakończeniu zakrojonych na szeroką skalę usunięć.

Jest jeszcze 824. W zapisie archiwum liczba ta jest odnotowana jako późniejsza korekta, ale nie prowadzi do datowanej publikacji pierwotnej tak, jak inne liczby prowadzą do Koi, OpenSourceMalware i Antiy. Pojawia się ona w późniejszym komentarzu osób trzecich — na przykład w marcowym wpisie z 2026 r. na Hacker News autorstwa twórcy skanera umiejętności, który opisuje „824 złośliwe umiejętności (20% ClawHub)” bez wskazania audytu, który za tym stoi. Arytmetyka również nie domyka się względem innych opublikowanych liczb: 824 to nieco poniżej 29 procent z 2 857, więc „20 procent” znów sugeruje inny, niepodany mianownik. Traktuj to jako liczbę krążącą w obiegu, a nie liczbę z opublikowaną metodologią. Ta sama ostrożność dotyczy wariantów „1 200+”, które pojawiają się w późniejszych opracowaniach.

Nie tyle są błędne, ile nieporównywalne: wpisy z jednego momentu, publikacje w pewnym przedziale czasowym i cała historia repozytorium to trzy różne mianowniki, a wariant typosquattingowy może być jednym wpisem lub kilkoma, w zależności od tego, jak licznik je pogrupował.

Co zmienił OpenClaw

Dwie rzeczy, obie w ciągu tygodnia po ujawnieniu Koi.

Pierwszym było zgłaszanie przez użytkowników. Hacker News poinformował, że twórca OpenClaw, Peter Steinberger, wdrożył funkcję pozwalającą zalogowanym użytkownikom oznaczyć umiejętność, a dokumentacja stwierdza, że każdy użytkownik może mieć do 20 aktywnych zgłoszeń oraz że „umiejętności z więcej niż 3 unikalnymi zgłoszeniami są domyślnie automatycznie ukrywane”. To mechanizm wstępnej selekcji, a nie skaner, i zależy od tego, czy ktoś najpierw zauważy problem.

Drugim było partnerstwo z VirusTotal, ogłoszone przez OpenClaw 7 lutego 2026 r. Jak opisano we własnym wpisie OpenClaw: każdy pakiet umiejętności jest deterministycznie pakowany do pliku ZIP ze spójną kompresją i znacznikami czasu oraz z _meta.json zawierającym dane wydawcy i wersji; generowany jest hash SHA-256; hash jest sprawdzany względem danych o zagrożeniach VirusTotal, a jeśli nie ma werdyktu, pakiet jest przesyłany przez API v3 VirusTotal. Code Insight firmy VirusTotal — przegląd napędzany przez LLM, który według wpisu OpenClaw jest „obsługiwany przez Gemini” — odczytuje cały pakiet, zaczynając od SKILL.md. Werdykty decydują o działaniach: niegroźne umiejętności są automatycznie zatwierdzane, podejrzane otrzymują ostrzeżenie, ale pozostają widoczne, a złośliwe są blokowane przed pobraniem. Wszystkie aktywne umiejętności są codziennie ponownie skanowane, a podejrzewane fałszywe alarmy są kierowane na adres [email protected].

OpenClaw jasno określił ograniczenia w tym samym poście, nazywając integrację "nie srebrną kulą" i ostrzegając, że "czysty skan nie oznacza, że skill jest bezpieczny", ponieważ manipulacja językiem naturalnym i prompt injection mogą nie zostać wychwycone przez sygnatury ani bazę zagrożeń. Ocena Antiy CERT wskazuje na to samo z zewnątrz: uznaje funkcję raportowania za konieczną, ale dalece niewystarczającą, i przekonuje, że ochrona w skali sklepu wymaga analizy statycznej, analizy kodu i analizy semantycznej, uruchamiania w piaskownicy oraz stojącego za nimi zespołu reagowania.

Co jest ustalone, a co nie

Najpierw uwaga o źródłach, ponieważ ma ona znaczenie dla wszystkiego powyżej. Oryginalny wpis Koi nie jest już dostępny pod opublikowanym adresem. Adres URL koi.ai cytowany przez archiwum przekierowuje teraz do strony produktu Cortex firmy Palo Alto Networks, w następstwie przejęcia Koi przez Palo Alto Networks, które firma ogłosiła jako zakończone 14 kwietnia 2026 r. Dlatego liczby i cytaty Koi są tutaj zaczerpnięte z mediów, które przeczytały raport, gdy był jeszcze dostępny — The Hacker News z 2 lutego, eSecurity Planet z 3 lutego, Gadget Review z 11 lutego — oraz z Antiy CERT, który bezpośrednio cytuje raport Koi w swojej własnej lutowej analizie. Samego wpisu Koi nie można było odczytać na potrzeby tego artykułu.

Ustalono: że Koi skontrolował 2 857 umiejętności i zgłosił 341 złośliwych, z czego 335 należało do jednej kampanii; mechanizm wabika opartego na wymaganiach wstępnych w obu systemach operacyjnych; adres command-and-control 91.92.242[.]30; nietypowe przypadki reverse shell i .env-eksfiltracji; funkcję raportowania; oraz integrację VirusTotal z opisanym powyżej potokiem. Rzeczywista szkoda nie budzi wątpliwości — Antiy odnotował 14 285 pobrań w 60 wciąż dostępnych pakietach od jednego podmiotu publikującego, a OpenSourceMalware oszacował łączną liczbę pobrań jednego wydawcy na prawie 7 000 — a dane, na które polowały payloady, to dokładnie te dane, które gromadzi host agenta: klucze portfeli, klucze API giełd, klucze SSH, tokeny chmurowe, hasła przeglądarki.

Rozbieżne: liczba, z powodów podanych w powyższej sekcji, oraz etykieta rodziny złośliwego oprogramowania.

Nie ustalono — przynajmniej w niczym opublikowanym, do czego ten artykuł mógł dotrzeć — ile osób faktycznie zainstalowało złośliwą umiejętność, ile danych uwierzytelniających skradziono ani czy udało się prześledzić jakiekolwiek ze skradzionych środków lub kluczy. Antiy twierdzi, że złośliwe umiejętności „pobrano tysiące razy, infekując użytkowników Windows i macOS” — to ocena ekspozycji, a nie liczba ofiar, i żaden wydawca takiej liczby nie przedstawił. Nie podano również, czy wszystkie 341 ofert było aktywne w momencie publikacji Koi.

Trwałym faktem jest kształt tej porażki, a nie arytmetyka. Marketplace, na którym każdy mógł publikować, w ekosystemie, gdzie instalacja pakietu oznacza przekazanie mu poświadczeń agenta, wywołał kampanię, której całym exploitem był README każący użytkownikowi coś uruchomić — a pierwsza automatyczna obrona pojawiła się sześć dni później, nastawiona na sygnatury i przegląd modeli, a nie na model zaufania, który sprawił, że przynęta zadziałała.