Infostealers começam a recolher configurações e tokens de gateway do OpenClaw

Em fevereiro de 2026, um infostealer de informações genérico extraiu o ambiente de configuração de um agente OpenClaw de uma máquina infectada: o arquivo JSON que continha o token de gateway do agente, o arquivo JSON que continha sua chave de assinatura do dispositivo e os arquivos Markdown que definem sua persona e memória. A Hudson Rock, empresa de inteligência de ameaças que publicou a descoberta, chamou isso de um marco no comportamento dos infostealers, descrevendo uma mudança das credenciais de navegador para as identidades de agentes de IA pessoais; o BleepingComputer noticiou a alegação da empresa de que este foi o primeiro caso desse tipo em ambiente real, e o The Hacker News também noticiou isso naquele mês. O infostealer não foi criado para o OpenClaw. O relato da Hudson Rock diz que uma rotina abrangente de captura de arquivos varreu extensões e nomes de diretórios sensíveis, como .openclaw, e levou a pasta por acaso, e é por isso que a empresa descreve o malware como tendo encontrado ouro por acaso, em vez de ter caçado o agente. O arquivo classifica o episódio como um incidente de credenciais de alta severidade, com confiança B, não disputado, e dano real registrado, e o Orca AI Incident Archive mantém este registro ao lado de suas entradas vizinhas do OpenClaw, cada uma avaliada com base em suas próprias evidências.

Três arquivos, e o que cada um desbloqueia

O OpenClaw, anteriormente Clawdbot e Moltbot, é um agente de IA pessoal auto-hospedado que mantém estado persistente em arquivos na própria máquina do usuário. O artigo da Hudson Rock, resumido pelo The Hacker News e pelo BleepingComputer, lista três coisas retiradas do diretório OpenClaw da vítima. openclaw.json continha um endereço Gmail parcialmente ocultado, o caminho do workspace e um token de gateway de alta entropia armazenado em gateway.auth.token. A nota técnica da Hudson Rock diz que esse token permitiria a um atacante conectar-se remotamente à instância local do OpenClaw da vítima se a porta estivesse exposta, ou personificar o cliente em solicitações autenticadas ao gateway de IA.

device.json continha a publicKeyPem e a privateKeyPem do dispositivo do usuário, o par de chaves que o OpenClaw usa para emparelhamento e para operações de assinatura. Com a metade privada, diz a Hudson Rock, um atacante pode assinar mensagens como o dispositivo da vítima, potencialmente contornando as verificações "Safe Device" e alcançando registros criptografados ou serviços de nuvem emparelhados a esse dispositivo. soul.md, junto com os arquivos de memória AGENTS.md e MEMORY.md, continha os princípios operacionais do agente, diretrizes comportamentais e limites éticos e, na descrição da empresa, provavelmente continha registros diários da atividade do usuário, mensagens privadas e eventos de calendário — o que ela chama de um mapa da vida do usuário.

Há um detalhe no relato do fornecedor que vale a pena separar do restante. A Hudson Rock passou os arquivos roubados pelo seu próprio sistema de IA, o Enki, para uma avaliação automatizada de risco, e o resumo dessa saída é que tokens, chaves e contexto pessoal, juntos, equivalem a um comprometimento total da identidade digital do usuário. Esse é um modelo de risco aplicado aos arquivos. Não é um registro de nada que um atacante tenha feito com eles.

O mecanismo era uma miscelânea, não um item de checklist.

O resumo de uma linha do arquivo diz que as credenciais de agentes “entraram formalmente na lista de verificação padrão dos infostealers”. O documento abaixo dele diz algo mais restrito. A Hudson Rock é explícita: nenhum módulo específico do OpenClaw estava envolvido; o malware executou uma rotina genérica que coletava arquivos por extensão e por nome de diretório, e .openclaw correspondia. Alon Gal, cofundador e CTO da Hudson Rock, disse ao BleepingComputer que a rotina procurava arquivos e diretórios contendo palavras-chave como “token” e “private key”.

O módulo dedicado é uma previsão, não uma observação. A Hudson Rock escreve que, à medida que agentes como o OpenClaw se tornam mais integrados aos fluxos de trabalho profissionais, os desenvolvedores de stealers provavelmente lançarão módulos projetados especificamente para descriptografar e analisar esses arquivos, assim como fazem hoje para o Chrome ou o Telegram. Em 26 de janeiro de 2026, a mesma empresa havia publicado um post intitulado ClawdBot: O Novo Alvo Principal para Infostealers na Era da IA, argumentando que o agente mantém memórias, perfis e tokens de autenticação em Markdown e JSON em texto simples que muitas vezes são legíveis por qualquer processo em execução como o usuário. O caso de fevereiro é a primeira vez que ela relatou essa previsão se concretizando em uma máquina real.

A distinção não é acadêmica. Uma varredura incidental significa que a exposição é uma propriedade de onde o agente guarda seus segredos, não de atacantes terem decidido caçar o OpenClaw. Se parsers chegarem, os mesmos arquivos se tornam legíveis em escala em vez de meramente coletáveis, e a questão defensiva passa das permissões de diretório para o que um token de gateway e uma chave de dispositivo ainda conseguem alcançar depois que eles se forem.

Uma máquina, um fornecedor e uma longa trilha de repetição

A postagem da Hudson Rock descreve uma vítima, no singular, e publica capturas de tela da árvore de diretórios de uma máquina infectada. Ela não diz de quantas máquinas veio a amostra, e nenhuma das reportagens consultadas para este artigo acrescenta um segundo caso. Bill Toulas, do BleepingComputer, falou diretamente com Gal e traz detalhes que a postagem da Hudson Rock não traz — a atribuição ao Vidar e a varredura baseada em palavras-chave —, mas a observação subjacente continua sendo uma única infecção, vista por um único fornecedor. A Infosecurity Magazine e o SecurityAffairs repetiram a mesma constatação em até um dia após a postagem da Hudson Rock, e o ThaiCERT a repetiu em um alerta em 25 de fevereiro de 2026. Um CERT nacional repetir um relatório de fornecedor é amplificação, não confirmação independente.

É isso que os registros de confiança B do arquivo registram: documentado, mas a partir de uma fonte única ou secundária. O registro também está datado em fevereiro de 2026, com precisão de mês; o relato do BleepingComputer data o roubo de forma mais precisa, mas o arquivo traz apenas o mês, e este artigo mantém a precisão do arquivo. Nada do que foi lido para este artigo contesta o relato da Hudson Rock, e o registro está marcado como incontroverso. A ressalva não é uma contradição. É que o enquadramento como marco — o primeiro caso ao vivo, a mudança de credenciais de navegador para identidades de agentes — é uma caracterização feita pela empresa que encontrou a amostra, e não há uma base pública de comparação pela qual se possa verificar o "primeiro".

Nenhum CVE foi atribuído. Nenhum aviso de segurança do OpenClaw que trate deste roubo aparece nas fontes consultadas para este artigo, e nenhum regulador publicou uma conclusão própria sobre o caso — o único documento com ligação governamental localizado é o aviso do ThaiCERT, que reafirma o relatório da Hudson Rock. Ao contrário de uma falha de software, este incidente não tem uma correção a apontar, porque os arquivos não estavam fazendo nada que o software considerasse errado. Eles estavam em texto simples no disco, ao lado do agente.

O que o registro não estabelece

• Nenhuma fonte consultada para este artigo mostra um token de gateway ou uma chave de dispositivo roubados sendo usados. Os danos apontados pela Hudson Rock são condicionais do início ao fim — "se a porta estiver exposta", "potencialmente contornando" — e a cobertura que os repete não acrescenta nenhuma intrusão demonstrada.

• A atribuição ao Vidar é feita com ressalvas pela empresa que a realizou. Gal descreveu a amostra como provavelmente uma variante do Vidar, um stealer pronto para uso ativo desde o final de 2018, com base nos detalhes da infecção; nenhum hash publicado, análise de amostra ou comparação de família aparece nas fontes lidas aqui.

• O número de usuários afetados é desconhecido. A Hudson Rock relatou uma vítima e não informou a quantidade de máquinas adicionais, e nenhuma reportagem posterior localizada para este artigo forneceu esse número.

• Não está estabelecido por nenhuma fonte consultada aqui se o material roubado foi negociado, vendido ou indexado por algum serviço criminoso.

• O dano real que o registro assinala é a própria exfiltração: as credenciais e chaves de uma máquina real saíram da máquina. Esse é um critério menos exigente do que uma tomada de controle, e o registro não afirma que houve uma tomada de controle.

O que já havia mudado, e o que não abrangia

A OpenClaw anunciou uma parceria com a VirusTotal em 7 de fevereiro de 2026, antes de a Hudson Rock publicar seu relato. O acordo verifica cada skill enviada ao ClawHub — empacotando-a, calculando seu hash, comparando o hash com o VirusTotal e executando a análise Code Insight do VirusTotal em qualquer item desconhecido — e o projeto a combinou com um modelo de ameaças e uma auditoria para possíveis configurações incorretas. Isso aborda o marketplace. Não criptografa o openclaw.json no disco do usuário e não faz nada quanto a malware que já está em execução no endpoint e lendo o diretório home, que é o vetor neste registro.

O mais próximo de uma orientação voltada para essa falha é consultivo, e não técnico. A nota da ThaiCERT de 25 de fevereiro de 2026 repete a descoberta da Hudson Rock e recomenda executar agentes em máquinas virtuais isoladas (sandbox) ou contêineres com privilégios mínimos, evitando acesso direto a dados sensíveis, verificando a origem de cada skill instalada, monitorando registros de atividade e preparando um plano de resposta a incidentes que inclua reinicializações completas do sistema e rotação de credenciais. O relato público da própria OpenClaw sobre seu trabalho de segurança, publicado em abril de 2026, diz que os segredos foram afastados de "por favor, tenha cuidado" em direção a referências, para que as credenciais não fiquem em prompts, logs, transcrições ou no estado do agente — a mesma direção, embora esse post não aborde os arquivos de configuração documentados pela Hudson Rock.

O que observar é se parsers dedicados aparecerão. A previsão da Hudson Rock é que sim, e seu post de janeiro é o motivo para levar a previsão a sério, em vez de a amostra de fevereiro ser a prova disso. Até lá, o registro permanece como um único roubo bem documentado: estado do agente em texto simples, obtido por um stealer que não o procurava, com o dano avaliado pelo fornecedor em vez de observado em campo.