Инфостилеры начинают собирать конфигурации OpenClaw и токены шлюзов

В феврале 2026 года распространённый инфостилер похитил конфигурационную среду агента OpenClaw с заражённой машины: JSON-файл с токеном шлюза агента, JSON-файл с ключом подписи устройства и Markdown-файлы, определяющие его персону и память. Hudson Rock, фирма по киберразведке, опубликовавшая находку, назвала это вехой в поведении инфостилеров, описав сдвиг от браузерных учётных данных к идентичностям персональных ИИ-агентов; BleepingComputer сообщил об утверждении фирмы, что это был первый подобный случай в реальных условиях, и The Hacker News также сообщил об этом в том месяце. Инфостилер не был создан для OpenClaw. В отчёте Hudson Rock говорится, что широкая процедура захвата файлов перебирала чувствительные расширения и имена каталогов, такие как .openclaw, и попутно забрала папку, поэтому фирма описывает вредоносную программу как наткнувшуюся на золото, а не охотящуюся за агентом. Архив классифицирует этот эпизод как инцидент с учётными данными высокой серьёзности с уровнем уверенности B, оспорено: нет, с зафиксированным реальным ущербом, и Orca AI Incident Archive содержит эту запись вместе с соседними записями об OpenClaw, каждая из которых оценивается на основе собственных доказательств.

Три файла, и что каждый из них открывает

OpenClaw, ранее Clawdbot и Moltbot, — это самостоятельно размещаемый персональный ИИ-агент, который хранит постоянное состояние в файлах на собственной машине пользователя. В материале Hudson Rock, кратко изложенном The Hacker News и BleepingComputer, перечислены три вещи, взятые из каталога OpenClaw жертвы. openclaw.json содержал частично скрытый адрес Gmail, путь к рабочей области и токен шлюза с высокой энтропией, хранящийся в gateway.auth.token. В технической заметке Hudson Rock говорится, что этот токен позволил бы злоумышленнику удалённо подключиться к локальному экземпляру OpenClaw жертвы, если порт открыт, или выдать себя за клиента в аутентифицированных запросах к ИИ-шлюзу.

device.json содержал publicKeyPem и privateKeyPem устройства пользователя — пару ключей, которую OpenClaw использует для сопряжения и подписи операций. По словам Hudson Rock, с помощью закрытой половины злоумышленник может подписывать сообщения от имени устройства жертвы, потенциально обходя проверки «Safe Device» и получая доступ к зашифрованным журналам или облачным сервисам, сопряжённым с этим устройством. soul.md вместе с файлами памяти AGENTS.md и MEMORY.md содержал рабочие принципы агента, поведенческие рекомендации и этические границы, а, по описанию фирмы, вероятно, также ежедневные журналы активности пользователя, личные сообщения и события календаря — то, что она называет схемой жизни пользователя.

Одна деталь в отчёте поставщика заслуживает отдельного рассмотрения. Hudson Rock прогнала украденные файлы через свою ИИ-систему Enki для автоматизированной оценки рисков, и её резюме этого результата сводится к тому, что токены, ключи и личный контекст в совокупности означают полную компрометацию цифровой личности пользователя. Это модель рисков, применённая к файлам. Это не запись того, что злоумышленник сделал с ними.

Механизм представлял собой сборную солянку, а не пункт контрольного списка.

В однострочном резюме архива говорится, что учетные данные агентов «официально вошли в стандартный чек-лист инфостилеров». Документ под ним говорит о более узком случае. Hudson Rock прямо указывает, что модуль, специфичный для OpenClaw, не участвовал: вредоносное ПО выполняло общую процедуру, которая собирала файлы по расширению и по имени каталога, и .openclaw подходил. Алон Гал, соучредитель и технический директор Hudson Rock, сообщил BleepingComputer, что процедура сканировала файлы и каталоги, содержащие такие ключевые слова, как «token» и «private key».

Специализированный модуль — это прогноз, а не наблюдение. Hudson Rock пишет, что по мере того, как такие агенты, как OpenClaw, всё глубже интегрируются в профессиональные рабочие процессы, разработчики стилеров, вероятно, выпустят модули, специально предназначенные для расшифровки и разбора этих файлов, — примерно так же, как сегодня они делают для Chrome или Telegram. 26 января 2026 года та же компания опубликовала пост под названием «ClawdBot: новая основная цель для инфостилеров в эпоху ИИ», где утверждалось, что агент хранит воспоминания, профили и токены аутентификации в виде открытого текста в Markdown и JSON, которые часто может прочитать любой процесс, запущенный от имени пользователя. Февральский случай — первый, когда она сообщила, что этот прогноз подтвердился на реальной машине.

Это различие не является чисто теоретическим. Попутный сбор означает, что уязвимость определяется тем, где агент хранит свои секреты, а не тем, что злоумышленники решили охотиться на OpenClaw. Если появятся парсеры, те же файлы станут читаемыми в масштабе, а не просто собираемыми, и вопрос защиты смещается от прав доступа к каталогам к тому, чего всё ещё могут достичь токен шлюза и ключ устройства после того, как они утрачены.

Одна машина, один поставщик и долгая череда повторов

В публикации Hudson Rock описывается одна жертва, в единственном числе, и публикуются скриншоты дерева каталогов одной заражённой машины. Там не говорится, со скольких машин была получена выборка, и ни в одном из материалов, прочитанных для этой статьи, не добавляется второй случай. Билл Тулас из BleepingComputer напрямую поговорил с Gal и приводит подробности, которых нет в публикации Hudson Rock, — атрибуцию Vidar и сканирование по ключевым словам, — но лежащее в основе наблюдение по-прежнему остаётся одной инфекцией, увиденной одним поставщиком. Infosecurity Magazine и SecurityAffairs повторили ту же находку в течение дня после публикации Hudson Rock, а ThaiCERT повторил её в рекомендательном бюллетене 25 февраля 2026 года. Повторение отчёта поставщика национальным CERT — это усиление, а не независимое подтверждение.

Это то, что фиксирует запись уровня достоверности B в архиве: документировано, но по одному или вторичному источнику. Запись также датирована февралём 2026 года с точностью до месяца; в материале BleepingComputer кража датирована более узко, но в архиве указан только месяц, и эта статья придерживается точности архива. Ничто из прочитанного для этой статьи не противоречит версии Hudson Rock, и запись помечена как неоспариваемая. Оговорка не является противоречием. Она в том, что характеристика как вехи — первый реальный случай, переход от учётных данных браузера к идентичностям агентов — является описанием со стороны компании, обнаружившей образец, и нет публичной базовой линии, по которой можно проверить «первый».

CVE не был присвоен. Ни один рекомендательный документ OpenClaw по безопасности, посвящённый этой краже, не встречается в источниках, прочитанных для этой статьи, и ни один регулятор не опубликовал собственных выводов об этом — единственный найденный документ, связанный с госструктурами, — это рекомендация ThaiCERT, в которой пересказывается отчёт Hudson Rock. В отличие от программной уязвимости, у этого инцидента нет патча, на который можно указать, потому что файлы не делали ничего такого, что программное обеспечение считало бы неправильным. Они лежали на диске в открытом виде, рядом с агентом.

Что не устанавливают материалы дела

• Ни один из прочитанных для этой статьи источников не показывает использования украденного токена шлюза или ключа устройства. Hudson Rock на протяжении всего текста описывает угрозы условно — «если порт открыт», «потенциально позволяя обойти» — а публикации, которые это повторяют, не добавляют ни одного продемонстрированного вторжения.

• Атрибуция Vidar сопровождается оговорками со стороны фирмы, которая её сделала. Гал описал образец как вероятный вариант Vidar — готового стилера, активного с конца 2018 года, — основываясь на деталях заражения; в прочитанных здесь источниках не приводится ни опубликованного хеша, ни анализа образца, ни сравнения с семейством.

• Число пострадавших пользователей неизвестно. Hudson Rock сообщила об одной жертве и не указала количество других машин; в более поздних публикациях, найденных для этой статьи, это количество также не приводилось.

• Не установлено ни одним из прочитанных здесь источников, торговался ли украденный материал, продавался ли он или индексировался какой-либо преступной службой.

• Реальный вред, который фиксирует запись, — это сама эксфильтрация: учётные данные и ключи реальной машины покинули машину. Это более низкая планка, чем захват, и запись не утверждает, что произошёл захват.

Что уже изменилось и что осталось неохваченным

OpenClaw объявила о партнёрстве с VirusTotal {{1}}7 февраля 2026 года{{/1}}, прежде чем Hudson Rock опубликовала свой отчёт. В рамках этой договорённости проверяется каждый навык, загружаемый в ClawHub: он упаковывается, хешируется, хеш сверяется с VirusTotal, а для всего, что ранее не встречалось, выполняется анализ Code Insight от VirusTotal; кроме того, проект дополнил это моделью угроз и аудитом на предмет потенциальных ошибок конфигурации. Это касается маркетплейса. Это не шифрует openclaw.json на диске пользователя и ничего не делает с вредоносным ПО, которое уже работает на конечной точке и читает домашний каталог, — а именно этот вектор и фигурирует в данной записи.

Ближайший документ, посвящённый этому сбою, носит рекомендательный, а не технический характер. Заметка ThaiCERT от 25 февраля 2026 года повторяет вывод Hudson Rock и рекомендует запускать агентов в изолированных виртуальных машинах или контейнерах с минимальными привилегиями, избегать прямого доступа к конфиденциальным данным, проверять источник каждого установленного навыка, отслеживать журналы активности и готовить план реагирования на инциденты, включающий полный сброс систем и ротацию учётных данных. В своём публичном описании работы по безопасности, опубликованном в апреле 2026 года, OpenClaw сообщает, что секреты перевели от подхода «пожалуйста, будьте осторожны» к ссылкам, чтобы учётные данные не находились в промптах, журналах, стенограммах или состоянии агента — то же направление, хотя в этом посте не рассматриваются конфигурационные файлы, задокументированные Hudson Rock.

Следить стоит за тем, появятся ли специализированные парсеры. Hudson Rock прогнозирует, что появятся, и именно январский пост, а не февральская выборка, является причиной отнестись к прогнозу серьёзно, а не считать её доказательством. До тех пор этот случай остаётся единичной, хорошо задокументированной кражей: состояние агента в открытом виде, похищенное стилером, который его не искал, причём ущерб оценил поставщик, а не наблюдал в реальной среде.