ClawHavoc: 341 Skills Maliciosas do ClawHub e uma Contagem Que Não Parava de Mudar

Em 1º de fevereiro de 2026, a empresa de segurança Koi Security publicou uma auditoria do ClawHub, o marketplace de habilidades vinculado ao agente de IA de código aberto OpenClaw: das 2.857 habilidades listadas ali, ela relatou 341 como maliciosas, com 335 delas rastreadas até uma única operação coordenada que batizou de ClawHavoc. Isso representa pouco menos de 12 por cento do marketplace. O principal payload era o Atomic Stealer, conhecido como AMOS, um infostealer de macOS de prateleira que, segundo o The Hacker News, é alugado por cerca de US$ 500–1.000 por mês, e chegou pelo passo que os usuários estão mais condicionados a executar sem pensar — uma seção "Pré-requisitos" dizendo para instalarem mais uma coisa primeiro. Usuários de Windows eram direcionados a um ZIP protegido por senha no GitHub; usuários de macOS, a um comando de shell hospedado no glot.io e instruídos a colá-lo no Terminal. A entrada do próprio arquivo para a campanha, com suas classificações de severidade e confiança, está no Orca AI Incident Archive ao lado dos outros incidentes de cadeia de suprimentos registrados naquela semana.

O que Koi realmente olhou

O ClawHub é um marketplace comunitário que acompanha o OpenClaw, um assistente de IA auto-hospedado anteriormente conhecido como Clawdbot e Moltbot. As Habilidades são o mecanismo de extensão: instruções empacotadas mais scripts que ensinam o agente a fazer algo específico — ler uma carteira Solana, resumir um vídeo do YouTube, acompanhar preços no Polymarket. Instalar uma significa conceder a ela o mesmo alcance que o agente tem.

A Koi executou sua auditoria com um bot OpenClaw próprio, chamado Alex, de acordo com a reportagem do The Hacker News de 2 de fevereiro. O pesquisador citado nessa reportagem, Oren Yomtov, descreveu a isca em termos simples: "Você instala o que parece ser uma skill legítima — talvez solana-wallet-tracker ou youtube-summarize-pro. A documentação da skill parece profissional. Mas há uma seção 'Pré-requisitos' que diz que você precisa instalar algo primeiro."

A razão pela qual existia um mercado para envenenar era que o ClawHub era aberto por padrão. O Hacker News noticiou que qualquer pessoa podia fazer upload, e a única restrição na época era que a conta do GitHub do publicador tivesse pelo menos uma semana de existência. O próprio relatório da Koi descreveu a plataforma como tendo "praticamente nenhum mecanismo de revisão de segurança", uma frase que a Antiy CERT cita em sua própria análise.

Como o payload chegou

A entrega variava conforme o sistema operacional, mas o formato era o mesmo: a habilidade em si é praticamente inofensiva, e o dano está nas instruções de instalação.

• No Windows, a documentação levava a uma release do GitHub contendo um ZIP protegido por senha. Dentro havia um trojan com capacidade de keylogging voltada para chaves de API, credenciais e tudo o mais que o bot naquela máquina já conseguisse alcançar — o que, em um host de agente, é muita coisa. O relatório do Antiy CERT diz que os arquivos normalmente traziam uma de três senhas (1202, openclaw ou 1234) e observa o propósito da criptografia: fazer o arquivo passar pela própria verificação do GitHub e pela verificação em tempo real na máquina da vítima.

• No macOS, a documentação instruía os usuários a copiar um script hospedado em glot[.]io e colá-lo no Terminal. O script executava comandos de shell ofuscados, acessava 91.92.242[.]30 para obter um segundo script, e esse script baixava um binário Mach-O universal — uma compilação para Intel e Apple Silicon ao mesmo tempo.

A Koi avaliou que esse binário exibia características consistentes com o AMOS. A OpenSourceMalware, equipe de pesquisa comandada por Paul McCarty, relatou a mesma campanha no mesmo dia e avaliou sua própria amostra de forma um pouco diferente: provavelmente uma nova cepa do NovaStealer. Os dois relatórios concordam quanto à infraestrutura, à isca e aos dados visados — chaves de API de exchanges, arquivos de carteira, dados de extensões de navegador, incluindo MetaMask, frases-semente, o Keychain do macOS, senhas salvas do navegador, chaves SSH, credenciais de nuvem e Git, .env arquivos — mas não, precisamente, quanto ao rótulo da família. Ambas as atribuições são dos próprios pesquisadores.

Nem toda skill maliciosa era uma isca de pré-requisito do ClawHavoc. Koi relatou skills — incluindo better-polymarket e polymarket-all-in-one — que escondiam backdoors de shell reverso dentro de código que, fora isso, funcionava, de modo que o comprometimento vinha do uso normal, e não da instalação. Outra, rankaj, enviava credenciais de bot armazenadas em ~/.clawdbot/.env para um endpoint webhook[.]site. Os nomes foram construídos para serem lidos incorretamente às pressas: clawhubb, cllawhub, clawwhub, clawhubcli, além de imitações de cripto, YouTube, atualizador automático e Google Workspace.

A Antiy CERT acrescenta um detalhe que vale a pena destacar como avaliação, e não como constatação: afirma que a documentação de apoio sobre essas habilidades tem 500–700 linhas e "provavelmente foi gerada por IA". Trata-se de uma inferência baseada no tamanho e na consistência dos documentos, não de algo que o relatório comprove.

A contagem não é um único número

O número que segue a ClawHavoc não é estável, e a razão é que as auditorias respondiam a perguntas diferentes em dias diferentes.

O 341 da Koi é uma contagem de anúncios ativos no momento da sua varredura: 341 entradas maliciosas entre 2.857 habilidades examinadas, 335 delas de uma única campanha. Os números da OpenSourceMalware descrevem uma onda de publicação em vez de um instantâneo do marketplace — 28 habilidades maliciosas publicadas entre 27 e 29 de janeiro, depois mais 386 entre 31 de janeiro e 2 de fevereiro, atribuídas a sete contas de publicadores, com 354 do segundo lote provenientes de uma única conta, hightower6eu. O 1.184 da Antiy CERT é uma contagem de histórico: pacotes maliciosos que identificou no repositório do ClawHub em 5 de fevereiro, atribuídos a 12 IDs de autores, com hightower6eu em 677 e sakaen736jih em 390. A Antiy também registrou que 60 pacotes de um único uploader, moonshine-100rze, ainda estavam acessíveis no momento da publicação e haviam acumulado 14.285 downloads, e que a plataforma tinha 3.498 habilidades depois que as remoções em larga escala foram concluídas.

Depois há o 824. O registro do arquivo anota o número como uma revisão posterior, mas ele não remete a uma publicação primária datada como os outros números remetem a Koi, OpenSourceMalware e Antiy. Onde ele aparece é em comentários posteriores de terceiros — por exemplo, um post no Hacker News de março de 2026, do autor de um scanner de skills, que descreve "824 skills maliciosas (20% do ClawHub)" sem nomear a auditoria por trás disso. A aritmética ali também não fecha com os outros números publicados: 824 é um pouco menos de 29 por cento de 2.857, então os "20 por cento" implicam novamente um denominador diferente, não declarado. Trate-o como um número em circulação, e não como um número com metodologia publicada. A mesma cautela se aplica às variantes "1.200+" que aparecem em textos posteriores.

Nenhum deles está exatamente errado; o problema é que não são comparáveis: listagens num único momento, publicações ao longo de uma janela e todo o histórico de um repositório são três denominadores diferentes, e uma variante de typosquat pode ser uma entrada ou várias, dependendo de como o contador as agrupou.

O que o OpenClaw mudou

Duas coisas, ambas dentro da semana que se seguiu à revelação de Koi.

O primeiro foi o relato dos usuários. O Hacker News noticiou que o criador do OpenClaw, Peter Steinberger, lançou um recurso que permite que usuários conectados sinalizem uma skill, com documentação afirmando que cada usuário pode manter até 20 denúncias ativas e que "skills com mais de 3 denúncias únicas são ocultadas automaticamente por padrão". Esse é um mecanismo de triagem, não um scanner, e depende de alguém notar primeiro.

O segundo foi a parceria com a VirusTotal, anunciada pela OpenClaw em 7 de fevereiro de 2026. Como descrito no próprio post da OpenClaw: cada pacote de habilidades é empacotado de forma determinística em um ZIP com compressão e carimbos de data/hora consistentes, além de um _meta.json contendo dados do publicador e da versão; um hash SHA-256 é gerado; o hash é verificado com base na inteligência de ameaças do VirusTotal e, se não houver veredito, o pacote é enviado por meio da API v3 do VirusTotal. O Code Insight do VirusTotal — uma análise conduzida por LLM que, segundo o post da OpenClaw, é "viabilizada pelo Gemini" — lê o pacote inteiro começando por SKILL.md. Os vereditos orientam as ações: habilidades benignas são aprovadas automaticamente, as suspeitas recebem um aviso, mas permanecem visíveis, e as maliciosas têm o download bloqueado. Todas as habilidades ativas são verificadas novamente diariamente, e falsos positivos suspeitos são encaminhados para [email protected].

OpenClaw foi explícito sobre os limites na mesma publicação, chamando a integração de "não uma bala de prata" e alertando que "uma varredura limpa não significa que uma skill seja segura", porque a manipulação em linguagem natural e a injeção de prompt podem não ser detectadas por assinaturas ou por um banco de dados de ameaças. A avaliação do Antiy CERT aponta na mesma direção, de fora: considera o recurso de denúncia necessário, mas longe de suficiente, e argumenta que a defesa em escala de loja precisa de análise estática, análise de código e semântica, execução em sandbox e uma equipe de resposta por trás.

O que está estabelecido, e o que não está

Uma nota sobre as fontes primeiro, porque isso importa para tudo acima. O post original da Koi não pode mais ser acessado em seu endereço de publicação. A URL koi.ai citada pelo arquivo agora redireciona para uma página de produto Cortex da Palo Alto Networks, após a aquisição da Koi pela Palo Alto Networks, que a empresa anunciou como concluída em 14 de abril de 2026. Assim, os números e citações da Koi aqui são provenientes de veículos que leram o relatório enquanto ele estava no ar — The Hacker News em 2 de fevereiro, eSecurity Planet em 3 de fevereiro, Gadget Review em 11 de fevereiro — e da Antiy CERT, que cita o relatório da Koi diretamente em sua própria análise de fevereiro. O próprio post da Koi não pôde ser lido para este artigo.

Ficou estabelecido: que o Koi auditou 2.857 skills e relatou 341 maliciosas, 335 delas de uma única campanha; o mecanismo de isca de pré-requisito nos dois sistemas operacionais; o endereço de comando e controle 91.92.242[.]30; o shell reverso e .env — os outliers de exfiltração; o recurso de relatório; e a integração com o VirusTotal com o pipeline descrito acima. Não há dúvida quanto ao dano real — a Antiy registrou 14.285 downloads em 60 pacotes ainda acessíveis de um único uploader, e a OpenSourceMalware estimou o total de um publicador em quase 7.000 downloads — e os dados que os payloads visavam são exatamente os dados que um host de agente concentra: chaves de carteira, chaves de API de exchange, chaves SSH, tokens de nuvem, senhas de navegador.

Divergente: a contagem, pelos motivos da seção acima, e o rótulo da família de malware.

Não está estabelecido, pelo menos em nada publicado que este artigo pudesse ler: quantas pessoas realmente instalaram uma skill maliciosa, quantas credenciais foram roubadas, ou se algum dos fundos ou chaves roubados foi rastreado. A Antiy diz que skills maliciosas "foram baixadas milhares de vezes, infectando usuários de Windows e macOS" — isso é uma avaliação de exposição, não uma contagem de vítimas, e nenhum publicador produziu uma. Se todas as 341 listagens estavam ativas no momento em que a Koi publicou também não é declarado.

O fato duradouro é a forma da falha, e não a aritmética. Um marketplace no qual qualquer pessoa podia publicar, num ecossistema em que instalar um pacote significa entregar a ele as credenciais do agente, produziu uma campanha cujo exploit inteiro era um README dizendo ao usuário para executar algo — e a primeira defesa automatizada chegou seis dias depois, voltada para assinaturas e revisão de modelos, em vez do modelo de confiança que fazia a isca funcionar.