ClawHavoc: 341 вредоносный навык ClawHub и число, которое продолжало меняться

1 февраля 2026 года компания по кибербезопасности Koi Security опубликовала аудит ClawHub — маркетплейса навыков, привязанного к открытому AI-агенту OpenClaw: из 2 857 навыков, перечисленных там, она признала 341 вредоносным, причём 335 из них были связаны с одной скоординированной операцией, которую она назвала ClawHavoc. Это чуть меньше 12 процентов рынка. Основной полезной нагрузкой был Atomic Stealer, известный как AMOS, массовый macOS-инфостилер, который, по сообщению The Hacker News, сдаётся в аренду примерно за 500–1000 долларов в месяц, и он попал через шаг, который пользователи наиболее привыкли выполнять не задумываясь, — раздел «Prerequisites», предлагающий сначала установить ещё одну вещь. Пользователей Windows направляли на защищённый паролем ZIP-архив на GitHub; пользователей macOS — на shell-команду, размещённую на glot.io, с указанием вставить её в Terminal. Собственная запись архива об этой кампании с оценками серьёзности и уверенности находится в Orca AI Incident Archive рядом с другими инцидентами цепочки поставок, зафиксированными на той неделе.

На что Кои на самом деле смотрел

ClawHub — это общественный маркетплейс, который работает рядом с OpenClaw, самостоятельно размещаемым ИИ-ассистентом, ранее известным как Clawdbot и Moltbot. Навыки — это механизм расширения: упакованные инструкции и скрипты, которые учат агента выполнять конкретную задачу — читать кошелёк Solana, делать краткое изложение видео на YouTube, отслеживать цены на Polymarket. Установка такого навыка означает предоставление ему тех же возможностей доступа, что есть у агента.

Koi провела свой аудит с помощью собственного бота OpenClaw по имени Alex, согласно отчёту The Hacker News от 2 февраля. Исследователь, которого цитируют в этом отчёте, Орен Йомтов, описал приманку простыми словами: «Вы устанавливаете то, что выглядит как легитимный навык — возможно, solana-wallet-tracker или youtube-summarize-pro. Документация навыка выглядит профессионально. Но есть раздел "Предварительные требования", где сказано, что сначала нужно что-то установить».

Причина, по которой вообще существовал рынок, который можно было отравить, заключается в том, что ClawHub по умолчанию был открытым. The Hacker News сообщил, что загружать мог любой, и единственным ограничением на тот момент было то, что учётная запись издателя на GitHub должна была существовать не менее недели. В собственном отчёте Koi платформа описывалась как имеющая «практически никаких механизмов проверки безопасности»; эту фразу Antiy CERT цитирует в своём анализе.

Как прибыла полезная нагрузка

Доставка различалась в зависимости от операционной системы, но форма была одной и той же: сам навык в основном безвреден, а вред заключается в инструкциях по установке.

• В Windows документация ссылалась на релиз GitHub, содержащий ZIP-архив, защищённый паролем. Внутри был троян с функцией кейлоггинга, нацеленный на API-ключи, учётные данные и всё остальное, до чего бот на этой машине уже мог добраться, — а на хосте агента это очень много. В отчёте Antiy CERT говорится, что архивы обычно использовали один из трёх паролей (1202, openclaw или 1234), и отмечается смысл шифрования: оно позволяет файлу обойти собственное сканирование GitHub и сканирование в реальном времени на машине жертвы.

• В macOS документация предлагала пользователям скопировать скрипт, размещённый на glot[.]io, и вставить его в Terminal. Скрипт выполнял обфусцированные shell-команды, обращался к 91.92.242[.]30 за вторым скриптом, и этот скрипт загружал универсальный бинарный файл Mach-O — одну сборку как для Intel, так и для Apple Silicon.

Koi пришёл к выводу, что этот бинарный файл обладает признаками, характерными для AMOS. OpenSourceMalware, исследовательская группа под руководством Пола Маккарти, сообщила о той же кампании в тот же день и несколько иначе оценила собственный образец: вероятно, новый штамм NovaStealer. Оба отчёта сходятся в оценке инфраструктуры, приманки и целевых данных — API-ключей бирж, файлов кошельков, данных браузерных расширений, включая MetaMask, seed-фраз, macOS Keychain, сохранённых паролей браузера, SSH-ключей, учётных данных облачных сервисов и Git, .env-файлов — но не в отношении, строго говоря, названия семейства. Обе атрибуции принадлежат самим исследователям.

Не каждый вредоносный навык был приманкой-предпосылкой ClawHavoc.better-polymarket и polymarket-all-in-one — которые скрывали бэкдоры с обратной оболочкой внутри в остальном работающего кода, поэтому компрометация наступала при обычном использовании, а не при установке. Ещё один, rankaj, отправлял учётные данные бота, хранившиеся в ~/.clawdbot/.env, на конечную точку webhook[.]site. Имена были составлены так, чтобы при быстром чтении их легко было перепутать: clawhubb, cllawhub, clawwhub, clawhubcli, наряду с двойниками криптовалютных сервисов, YouTube, автообновляторов и Google Workspace.

Antiy CERT добавляет деталь, которую стоит отметить как свою оценку, а не как установленный факт: по его словам, сопроводительная документация по этим навыкам составляет 500–700 строк и «вероятно, сама была сгенерирована ИИ». Это вывод, основанный на длине и согласованности документов, а не то, что доказывает отчёт.

Количество — это не одно число

Показатель, который постоянно сопровождает ClawHavoc, нестабилен, и причина в том, что аудиты в разные дни отвечали на разные вопросы.

341 у Koi — это количество активных листингов на момент его сканирования: 341 вредоносная запись из 2 857 навыков, которые он проверил, 335 из них — одна кампания. Цифры OpenSourceMalware описывают волну публикаций, а не снимок маркетплейса — 28 вредоносных навыков, опубликованных с 27 по 29 января, затем ещё 386 с 31 января по 2 февраля, распределённых по семи аккаунтам публикаторов, причём 354 из второй партии — с одного аккаунта, hightower6eu. Цифра 1 184 у Antiy CERT — это подсчёт истории: вредоносных пакетов, которые она выявила в репозитории ClawHub по состоянию на 5 февраля, отнесённых к 12 идентификаторам авторов, причём hightower6eu — 677, а sakaen736jih — 390. Antiy также зафиксировала, что 60 пакетов от одного загрузчика, moonshine-100rze, всё ещё были доступны на момент публикации и набрали 14 285 загрузок, и что платформа содержала 3 498 навыков после завершения масштабных удалений.

Затем есть 824. В записи архива эта цифра отмечена как более поздняя версия, но она не восходит к датированной первичной публикации так, как другие числа восходят к Koi, OpenSourceMalware и Antiy. Встречается она в более поздних комментариях третьих сторон — например, в посте на Hacker News от марта 2026 года, написанном автором сканера навыков, где описывается «824 вредоносных навыка (20% от ClawHub)» без указания аудита, на котором это основано. Арифметика там также не сходится с другими опубликованными цифрами: 824 — это чуть меньше 29 процентов от 2,857, так что «20 процентов» снова подразумевают другой, не указанный знаменатель. Считайте это числом, находящимся в обращении, а не числом с опубликованной методологией. Та же осторожность применима к вариантам «1,200+», которые появляются в более поздних материалах.

Все они не столько ошибочны, сколько несопоставимы: листинги на один момент времени, публикации за период и вся история репозитория — это три разных знаменателя, а вариант тайпсквоттинга может считаться одной записью или несколькими в зависимости от того, как счётчик их сгруппировал.

Что изменил OpenClaw

Две вещи, обе — в течение недели, последовавшей за разоблачением Кои.

Первым стало сообщение пользователя. Hacker News сообщил, что создатель OpenClaw Питер Стайнбергер выпустил функцию, позволяющую авторизованным пользователям отмечать навык, причём в документации указано, что каждый пользователь может иметь до 20 активных жалоб и что «навыки, получившие более 3 уникальных жалоб, по умолчанию автоматически скрываются». Это механизм сортировки, а не сканер, и он зависит от того, заметит ли кто-то первым.

Вторым стало партнёрство с VirusTotal, объявленное OpenClaw 7 февраля 2026 года. Как описано в публикации OpenClaw: каждый пакет навыка детерминированно упаковывается в ZIP с одинаковыми сжатием и временными метками, а также в _meta.json, содержащий данные об издателе и версии; генерируется хеш SHA-256; хеш проверяется по данным об угрозах VirusTotal, и если вердикта нет, пакет загружается через v3 API VirusTotal. Code Insight от VirusTotal — проверка на основе LLM, которая, как говорится в публикации OpenClaw, «работает на Gemini», — читает весь пакет начиная с SKILL.md. Вердикты определяют действия: безопасные навыки автоматически одобряются, подозрительные получают предупреждение, но остаются видимыми, вредоносные блокируются для скачивания. Все активные навыки ежедневно повторно сканируются, а предполагаемые ложные срабатывания направляются на [email protected].

OpenClaw прямо говорил об ограничениях в том же посте, назвав интеграцию «не серебряной пулей» и предупредив, что «чистое сканирование не означает, что навык безопасен», поскольку манипуляции на естественном языке и prompt injection могут не обнаруживаться сигнатурами или базой угроз. Оценка Antiy CERT с внешней стороны указывает на то же: она называет функцию отчётности необходимой, но далеко не достаточной, и утверждает, что защита в масштабе магазина требует статического анализа, анализа кода и семантики, выполнения в песочнице и команды реагирования, стоящей за всем этим.

Что установлено, а что — нет

Сначала — замечание об источниках, поскольку оно важно для всего вышесказанного. Оригинальный пост Koi больше не открывается по опубликованному адресу. URL-адрес koi.ai, указанный в архиве, теперь перенаправляет на страницу продукта Cortex компании Palo Alto Networks — после того как Palo Alto Networks объявила о завершении приобретения Koi 14 апреля 2026 года. Поэтому приведённые здесь цифры и цитаты Koi взяты из изданий, которые читали отчёт, пока он был доступен, — The Hacker News от 2 февраля, eSecurity Planet от 3 февраля, Gadget Review от 11 февраля, — а также из Antiy CERT, которая напрямую ссылается на отчёт Koi в собственном февральском анализе. Сам пост Koi не удалось прочитать при подготовке этой статьи.

Установлено, что Koi проверил 2 857 навыков и сообщил о 341 вредоносном, 335 из которых относятся к одной кампании; механизм приманки через предварительные условия в обеих операционных системах; адрес командования и управления 91.92.242[.]30; выбросы reverse-shell и .env-эксфильтрации; функция отчётности; и интеграция VirusTotal с описанным выше конвейером. Реальный вред не вызывает сомнений — Antiy зафиксировала 14 285 загрузок по 60 всё ещё доступным пакетам от одного загрузчика, а OpenSourceMalware оценила общий показатель одного издателя почти в 7 000 загрузок — и данные, за которыми охотились полезные нагрузки, — это именно те данные, которые концентрирует хост агента: ключи кошельков, API-ключи бирж, SSH-ключи, облачные токены, пароли браузеров.

Расхождение: количество, по причинам, указанным в разделе выше, и метка семейства вредоносного ПО.

Не установлено — по крайней мере, ни в одной публикации, которую могла прочитать эта статья, — сколько человек на самом деле установили вредоносный навык, сколько учётных данных было украдено и удалось ли проследить какие-либо из украденных средств или ключей. Antiy утверждает, что вредоносные навыки «были скачаны тысячи раз, заразив пользователей Windows и macOS», — это оценка масштаба подверженности, а не число жертв, и ни один издатель такого числа не привёл. Также не указано, были ли все 341 объявление активны на момент публикации Koi.

Непреходящий факт — это форма провала, а не арифметика. Маркетплейс, где публиковать мог кто угодно, в экосистеме, где установка пакета означает передачу ему учётных данных агента, породил кампанию, чьим единственным эксплойтом был README, велевший пользователю что-то запустить, — а первая автоматизированная защита появилась шесть дней спустя и была нацелена на сигнатуры и проверку моделей, а не на модель доверия, благодаря которой приманка сработала.