Infostealery zaczynają wykradać konfiguracje OpenClaw i tokeny gateway

W lutym 2026 r. masowy stealer informacji wykradł środowisko konfiguracyjne agenta OpenClaw z zainfekowanej maszyny: plik JSON zawierający token bramy agenta, plik JSON zawierający jego klucz podpisywania urządzenia oraz pliki Markdown definiujące jego personę i pamięć. Hudson Rock, firma zajmująca się analizą zagrożeń, która opublikowała to odkrycie, nazwała to kamieniem milowym w działaniu stealerów, opisując przejście od poświadczeń przeglądarki do tożsamości osobistych agentów AI; BleepingComputer poinformował o twierdzeniu firmy, że był to pierwszy tego rodzaju przypadek w warunkach rzeczywistych, a The Hacker News również poinformował o tym w tym miesiącu. Stealer nie został stworzony z myślą o OpenClaw. Relacja Hudson Rock mówi, że szeroka procedura przechwytywania plików przeszukiwała pod kątem wrażliwych rozszerzeń i nazw katalogów, takich jak .openclaw, i przypadkowo zabrała ten folder, dlatego firma opisuje to złośliwe oprogramowanie jako takie, które trafiło w żyłę złota, a nie polowało na agenta. Archiwum klasyfikuje ten epizod jako incydent dotyczący danych uwierzytelniających o wysokiej dotkliwości, przy poziomie pewności B, nieoznaczony jako sporny, z odnotowaną rzeczywistą szkodą, a Orca AI Incident Archive przechowuje ten zapis obok sąsiednich wpisów dotyczących OpenClaw, z których każdy jest oceniany na podstawie własnych dowodów.

Trzy pliki i to, co każdy z nich odblokowuje

OpenClaw, wcześniej znany jako Clawdbot i Moltbot, to samodzielnie hostowany osobisty agent AI, który utrzymuje trwały stan w plikach na maszynie samego użytkownika. Publikacja Hudson Rock, streszczona przez The Hacker News oraz BleepingComputer, wymienia trzy elementy pochodzące z katalogu OpenClaw ofiary. openclaw.json zawierał częściowo zredagowany adres Gmail, ścieżkę obszaru roboczego oraz token bramy o wysokiej entropii przechowywany pod gateway.auth.token. Nota techniczna Hudson Rock stwierdza, że ten token pozwoliłby atakującemu zdalnie połączyć się z lokalną instancją OpenClaw ofiary, gdyby port był wystawiony, lub podszyć się pod klienta w uwierzytelnionych żądaniach do bramy AI.

device.json zawierał publicKeyPem i privateKeyPem urządzenia użytkownika — parę kluczy, której OpenClaw używa do parowania i do operacji podpisywania. Zdaniem Hudson Rock dysponując prywatną połową, atakujący może podpisywać wiadomości jako urządzenie ofiary, potencjalnie omijając kontrole „Safe Device” i docierając do zaszyfrowanych logów lub usług w chmurze sparowanych z tym urządzeniem. soul.md wraz z plikami pamięci AGENTS.md i MEMORY.md zawierał zasady działania agenta, wytyczne dotyczące zachowania i granice etyczne, a według opisu firmy prawdopodobnie także dzienne logi aktywności użytkownika, prywatne wiadomości i wydarzenia z kalendarza — co określa mianem schematu życia użytkownika.

Jeden szczegół w relacji dostawcy warto oddzielić od reszty. Hudson Rock przepuścił skradzione pliki przez własny system AI Enki w celu zautomatyzowanej oceny ryzyka, a jego podsumowanie tego wyniku mówi, że tokeny, klucze i kontekst osobisty razem oznaczają całkowite przejęcie cyfrowej tożsamości użytkownika. To model ryzyka zastosowany do plików. Nie jest to zapis niczego, co atakujący z nimi zrobił.

Mechanizm był zbieraniną, a nie punktem listy kontrolnej.

Jednowierszowe podsumowanie archiwum głosi, że dane uwierzytelniające agentów „formalnie weszły do standardowej listy kontrolnej infostealerów”. Dokument znajdujący się pod nim mówi coś węższego. Hudson Rock wyraźnie stwierdza, że nie brał udziału żaden moduł specyficzny dla OpenClaw: złośliwe oprogramowanie uruchomiło ogólną procedurę, która zbierała pliki według rozszerzenia i nazwy katalogu, a .openclaw pasowało. Alon Gal, współzałożyciel i CTO Hudson Rock, powiedział BleepingComputer, że procedura skanowała pliki i katalogi zawierające słowa kluczowe takie jak „token” i „private key”.

Ten dedykowany moduł to prognoza, a nie obserwacja. Hudson Rock pisze, że wraz z coraz większą integracją agentów takich jak OpenClaw z profesjonalnymi przepływami pracy twórcy stealerów prawdopodobnie wydadzą moduły specjalnie zaprojektowane do odszyfrowywania i analizowania tych plików, podobnie jak dziś robią to w przypadku Chrome lub Telegrama. 26 stycznia 2026 r. ta sama firma opublikowała wpis zatytułowany „ClawdBot: The New Primary Target for Infostealers in the AI Era”, argumentując, że agent przechowuje wspomnienia, profile i tokeny uwierzytelniające w jawnym Markdownie i JSON, które często mogą odczytać dowolne procesy działające jako użytkownik. Lutowy przypadek to pierwszy raz, gdy poinformowała, że ta prognoza się ziściła na prawdziwej maszynie.

Ta różnica nie jest akademicka. Przypadkowe przemiatanie oznacza, że ekspozycja jest właściwością miejsca, w którym agent przechowuje swoje sekrety, a nie tego, że atakujący postanowili polować na OpenClaw. Jeśli pojawią się parsery, te same pliki staną się czytelne na dużą skalę, a nie jedynie możliwe do zebrania, a pytanie o obronę przenosi się z uprawnień katalogów na to, do czego token bramy i klucz urządzenia mogą jeszcze dotrzeć, gdy już ich nie ma.

Jedna maszyna, jeden dostawca i długi ciąg powtórzeń

Wpis Hudson Rock opisuje jedną ofiarę i publikuje zrzuty ekranu drzewa katalogów jednej zainfekowanej maszyny. Nie mówi, z ilu maszyn pochodziła próbka, a żaden z materiałów przeczytanych na potrzeby tego artykułu nie dodaje drugiego przypadku. Bill Toulas z BleepingComputer rozmawiał bezpośrednio z Galem i podaje szczegóły, których nie ma we wpisie Hudson Rock — przypisanie do Vidara i skanowanie oparte na słowach kluczowych — ale sama obserwacja nadal dotyczy jednej infekcji widzianej przez jednego dostawcę. Infosecurity Magazine i SecurityAffairs powtórzyły to samo ustalenie w ciągu doby od wpisu Hudson Rock, a ThaiCERT powtórzył je w biuletynie z 25 lutego 2026 r. Powtórzenie raportu dostawcy przez krajowy CERT jest wzmocnieniem przekazu, a nie niezależnym potwierdzeniem.

To właśnie odnotowuje poziom pewności B w archiwum: udokumentowane, ale z jednego lub wtórnego źródła. Zapis jest również datowany na luty 2026 r. z dokładnością do miesiąca; relacja BleepingComputer datuje kradzież bardziej precyzyjnie, ale archiwum podaje tylko miesiąc, a ten artykuł zachowuje dokładność archiwum. Nic, co przeczytano na potrzeby tego artykułu, nie podważa relacji Hudson Rock, a zapis oznaczono jako niekwestionowany. Zastrzeżenie nie polega na sprzeczności. Polega ono na tym, że ujęcie tego jako kamienia milowego — pierwszy przypadek na żywo, przejście od poświadczeń przeglądarki do tożsamości agentów — jest charakterystyką nadaną przez firmę, która znalazła próbkę, i nie istnieje publiczny punkt odniesienia, względem którego można by zweryfikować „pierwszy”.

Nie przypisano żadnego CVE. W źródłach przeanalizowanych na potrzeby tego artykułu nie pojawia się żaden biuletyn bezpieczeństwa OpenClaw dotyczący tej kradzieży, a żaden regulator nie opublikował własnego ustalenia w tej sprawie — jedynym odnalezionym dokumentem powiązanym z rządem jest biuletyn ThaiCERT, który powtarza raport Hudson Rock. W przeciwieństwie do wady oprogramowania ten incydent nie ma poprawki, na którą można wskazać, ponieważ pliki nie robiły niczego, co oprogramowanie uznawałoby za nieprawidłowe. Leżały w postaci jawnej na dysku, obok agenta.

Czego nie stwierdza materiał dowodowy

• Żadne źródło przeczytane na potrzeby tego artykułu nie pokazuje wykorzystania skradzionego tokenu bramy ani klucza urządzenia. Szkody wskazywane przez Hudson Rock są przez cały czas warunkowe — „jeśli port jest wystawiony”, „potencjalnie omijając” — a relacje, które je powtarzają, nie dodają udokumentowanego włamania.

• Przypisanie do Vidar jest ostrożnie sformułowane przez firmę, która go dokonała. Gal opisał próbkę jako prawdopodobnie wariant Vidar — gotowego stealera dostępnego na rynku, aktywnego od końca 2018 r. — na podstawie szczegółów infekcji; w czytanych tu źródłach nie pojawia się żaden opublikowany hash, analiza próbki ani porównanie rodzin.

• Liczba dotkniętych użytkowników jest nieznana. Hudson Rock zgłosił jedną ofiarę i nie podał liczby dodatkowych maszyn, a w późniejszych materiałach, które udało się znaleźć na potrzeby tego artykułu, nie podano takiej liczby.

• Żadne z przeczytanych tu źródeł nie potwierdza, czy skradziony materiał był przedmiotem obrotu, został sprzedany lub zindeksowany przez jakąkolwiek przestępczą usługę.

• Prawdziwą szkodą, którą odnotowuje zapis, jest sama eksfiltracja: dane uwierzytelniające i klucze prawdziwej maszyny opuściły maszynę. To niższy próg niż przejęcie, a zapis nie twierdzi, że doszło do przejęcia.

Co już się zmieniło i czego to nie obejmowało

OpenClaw ogłosił partnerstwo z VirusTotal 7 lutego 2026 r., zanim Hudson Rock opublikował swoją relację. W ramach tego układu skanowana jest każda umiejętność przesyłana do ClawHub — jest pakowana, poddawana haszowaniu, a hash jest sprawdzany w VirusTotal, a wobec wszystkiego, czego wcześniej nie widziano, uruchamiana jest analiza Code Insight firmy VirusTotal — a projekt połączył to z modelem zagrożeń i audytem pod kątem potencjalnych błędów konfiguracji. Rozwiązuje to problem rynku. Nie szyfruje pliku openclaw.json na dysku użytkownika i nie robi nic w sprawie złośliwego oprogramowania, które już działa na urządzeniu końcowym i czyta katalog domowy, czyli wektor opisany w tym zapisie.

Najbliższym odpowiednikiem wytycznych dotyczących tego błędu jest materiał doradczy, a nie techniczny. Notatka ThaiCERT z 25 lutego 2026 r. powtarza ustalenie Hudson Rock i zaleca uruchamianie agentów w odizolowanych maszynach wirtualnych lub kontenerach z zachowaniem zasady najmniejszych uprawnień, unikanie bezpośredniego dostępu do danych wrażliwych, weryfikowanie źródła każdej instalowanej umiejętności, monitorowanie dzienników aktywności oraz przygotowanie planu reagowania na incydenty obejmującego pełne resetowanie systemów i rotację poświadczeń. Publiczny opis prac nad bezpieczeństwem samego OpenClaw, opublikowany w kwietniu 2026 r., mówi, że sekrety przeniesiono z podejścia „proszę zachować ostrożność” na referencje, tak aby poświadczenia nie znajdowały się w promptach, dziennikach, transkryptach ani stanie agenta — to ten sam kierunek, choć ten wpis nie odnosi się do plików konfiguracyjnych udokumentowanych przez Hudson Rock.

Warto obserwować, czy pojawią się dedykowane parsery. Hudson Rock prognozuje, że tak się stanie, a jego styczniowy wpis jest powodem, by traktować tę prognozę poważnie, a nie dowodem na to, że potwierdza ją lutowa próbka. Do tego czasu zapis pozostaje pojedynczą, dobrze udokumentowaną kradzieżą: jawny stan agenta, pozyskany przez stealer, który go nie szukał, przy czym szkody zostały ocenione przez dostawcę, a nie zaobserwowane w rzeczywistych warunkach.