ClawHavoc: 341 skadliga ClawHub-skills och ett antal som fortsatte att ändras

Den 1 februari 2026 publicerade säkerhetsföretaget Koi Security en granskning av ClawHub, den kompetensmarknadsplats som är kopplad till den öppna AI-agenten OpenClaw: av de 2 857 kompetenser som listades där rapporterade företaget 341 som skadliga, varav 335 spårades till en enda samordnad operation som det kallade ClawHavoc. Det är strax under 12 procent av marknadsplatsen. Den huvudsakliga nyttolasten var Atomic Stealer, känd som AMOS, en standardiserad macOS-infostjälare som The Hacker News rapporterar hyrs ut för ungefär 500–1 000 dollar i månaden, och den kom in via det steg som användare är mest betingade att utföra utan att tänka — ett avsnitt med "Förutsättningar" som säger åt dem att först installera ytterligare en sak. Windows-användare hänvisades till en lösenordsskyddad ZIP på GitHub; macOS-användare till ett skalkommando som låg på glot.io och ombads klistra in det i Terminal. Arkivets egen post för kampanjen, med sina allvarlighets- och konfidensgrader, finns i Orca AI Incident Archive bredvid de andra incidenterna i leveranskedjan som registrerades den veckan.

Vad Koi faktiskt tittade på

ClawHub är en community-marknadsplats som finns vid sidan av OpenClaw, en självhostad AI-assistent som tidigare hette Clawdbot och Moltbot. Skills är utökningsmekanismen: paketerade instruktioner plus skript som lär agenten att göra en specifik sak – läsa en Solana-plånbok, sammanfatta en YouTube-video, följa priser på Polymarket. Att installera en innebär att ge den samma räckvidd som agenten har.

Koi genomförde sin granskning med en egen OpenClaw-bot som heter Alex, enligt The Hacker News rapport från 2 februari. Forskaren som citeras i rapporten, Oren Yomtov, beskrev lockbetet i klartext: "Du installerar något som ser ut som en legitim färdighet – kanske solana-wallet-tracker eller youtube-summarize-pro. Färdighetens dokumentation ser professionell ut. Men det finns ett avsnitt med 'Förutsättningar' som säger att du först måste installera något."

Anledningen till att det överhuvudtaget fanns en marknad att förgifta var att ClawHub var öppet som standard. The Hacker News rapporterade att vem som helst kunde ladda upp, och den enda begränsningen vid den tiden var att utgivarens GitHub-konto måste vara minst en vecka gammalt. Kois egen rapport beskrev plattformen som att den hade "i stort sett inga mekanismer för säkerhetsgranskning", en rad som Antiy CERT citerar i sin egen analys.

Hur nyttolasten anlände

Leveransen skilde sig mellan operativsystem, men formen var densamma: själva färdigheten är mestadels ofarlig, och skadan ligger i installationsanvisningarna.

• På Windows länkade dokumentationen till en GitHub-release som innehöll en lösenordsskyddad ZIP. Inuti fanns en trojan med tangentloggningsförmåga inriktad på API-nycklar, autentiseringsuppgifter och vad annat boten på den maskinen redan kunde nå – vilket på en agentvärd är en hel del. Antiy CERT:s rapport säger att arkiven vanligtvis innehöll ett av tre lösenord (1202, openclaw eller 1234) och påpekar syftet med krypteringen: den får filen förbi GitHubs egen skanning och förbi realtidsskanningen på offrets maskin.

• På macOS instruerade dokumentationen användarna att kopiera ett skript som låg på glot[.]io och klistra in det i Terminal. Skriptet körde obfuskerade shellkommandon, kontaktade 91.92.242[.]30 för att hämta ett andra skript, och det skriptet hämtade en universell Mach-O-binär — en byggd för både Intel och Apple Silicon.

Koi bedömde att den binärfilen uppvisade egenskaper förenliga med AMOS. OpenSourceMalware, forskningsgruppen som drivs av Paul McCarty, rapporterade samma kampanj samma dag och bedömde sitt eget prov något annorlunda: troligen en ny NovaStealer-variant. De två rapporterna är överens om infrastrukturen, lockbetet och de riktade uppgifterna – börs-API-nycklar, plånboksfiler, webbläsartilläggsdata inklusive MetaMask, seed-fraser, macOS Keychain, sparade webbläsarlösenord, SSH-nycklar, moln- och Git-autentiseringsuppgifter, .envfiler – men inte, exakt, om familjebeteckningen. Båda tillskrivningarna är forskarnas egna.

Inte alla skadliga skills var förutsättningslockbeten för ClawHavoc. Koi rapporterade skills – bland annat better-polymarket och polymarket-all-in-one – som gömde reverse shell-bakdörrar i annars fungerande kod, så komprometteringen skedde vid normal användning snarare än vid installation. En annan, rankaj, skickade botautentiseringsuppgifter som lagrats i ~/.clawdbot/.env till en webhook[.]site-slutpunkt. Namnen var utformade för att förväxlas vid snabb läsning: clawhubb, cllawhub, clawwhub, clawhubcli, tillsammans med förväxlingsbara namn för krypto, YouTube, autouppdaterare och Google Workspace.

Antiy CERT lägger till en detalj som är värd att lyfta fram som deras bedömning snarare än ett fynd: de säger att den stödjande dokumentationen om dessa färdigheter omfattar 500–700 rader och "sannolikt själva är AI-genererade". Det är en slutsats utifrån dokumentens längd och konsekvens, inte något som rapporten bevisar.

Antalet är inte ett enda nummer

Siffran som följer ClawHavoc är inte stabil, och anledningen är att revisionerna besvarade olika frågor olika dagar.

Kois 341 är en räkning av aktiva annonser vid tidpunkten för dess genomsökning: 341 skadliga poster av 2 857 skills som den undersökte, varav 335 tillhörde en och samma kampanj. OpenSourceMalwares siffror beskriver en publiceringsvåg snarare än en ögonblicksbild av marknadsplatsen – 28 skadliga skills publicerades mellan 27 och 29 januari, sedan ytterligare 386 mellan 31 januari och 2 februari, tillskrivna sju publicerarkonton, varav 354 av den andra omgången kom från ett enda konto, hightower6eu. Antiy CERT:s 1 184 är en räkning av historiken: skadliga paket som det identifierade i ClawHubs arkiv per den 5 februari, tillskrivna 12 författar-ID:n, där hightower6eu står för 677 och sakaen736jih för 390. Antiy noterade också att 60 paket från en uppladdare, moonshine-100rze, fortfarande var åtkomliga vid publiceringen och hade samlat 14 285 nedladdningar, och att plattformen innehöll 3 498 skills när de storskaliga borttagningarna var klara.

Sedan finns 824. Arkivets post noterar siffran som en senare revidering, men den går inte tillbaka till en daterad primärpublikation på samma sätt som de andra siffrorna går tillbaka till Koi, OpenSourceMalware och Antiy. Där den dyker upp är i senare tredjepartskommentarer – till exempel ett Hacker News-inlägg från mars 2026 av författaren till en skill-skannerare, som beskriver "824 skadliga skills (20 % av ClawHub)" utan att namnge granskningen bakom. Räkningen där går inte heller ihop med de andra publicerade siffrorna: 824 är lite under 29 procent av 2 857, så "20 procent" antyder ännu en annan nämnare, som inte anges. Behandla den som en siffra i omlopp snarare än en siffra med en publicerad metodik. Samma försiktighet gäller för varianterna "1 200+" som förekommer i senare texter.

Ingen av dem är egentligen fel – de är snarare icke-jämförbara: listningar vid ett och samma tillfälle, publikationer över ett tidsfönster och ett repos hela historik är tre olika nämnare, och en typosquat-variant kan vara en post eller flera beroende på hur räknaren grupperade dem.

Vad OpenClaw ändrade

Två saker, båda inom veckan som följde på Kois avslöjande.

Det första var användarrapportering. Hacker News rapporterade att OpenClaws skapare, Peter Steinberger, släppte en funktion som låter inloggade användare flagga en skill, med dokumentation som anger att varje användare kan ha upp till 20 aktiva rapporter och att "skills med fler än 3 unika rapporter automatiskt döljs som standard". Det är en triagemekanism, inte en skanner, och den beror på att någon upptäcker det först.

Den andra var VirusTotal-partnerskapet, som tillkännagavs av OpenClaw den 7 februari 2026. Enligt OpenClaws eget inlägg: varje färdighetspaket paketeras deterministiskt i en ZIP med konsekvent komprimering och tidsstämplar plus en _meta.json som innehåller data om utgivare och version; en SHA-256-hash genereras; hashen kontrolleras mot VirusTotals hotintelligens, och om det inte finns något utlåtande laddas paketet upp via VirusTotals v3-API. VirusTotals Code Insight – en LLM-driven granskning som OpenClaws inlägg säger "drivs av Gemini" – läser hela paketet med start från SKILL.md. Utlåtanden styr åtgärder: ofarliga färdigheter godkänns automatiskt, misstänkta får en varning men förblir synliga, skadliga blockeras från nedladdning. Alla aktiva färdigheter skannas om dagligen, och misstänkta falska positiver skickas till [email protected].

OpenClaw var tydlig med begränsningarna i samma inlägg, kallade integrationen "inte en patentlösning" och varnade för att "en ren genomsökning inte betyder att en färdighet är säker", eftersom manipulation med naturligt språk och prompt injection kanske inte fångas av signaturer eller en hotdatabas. Antiy CERT:s bedömning pekar i samma riktning utifrån: den kallar rapporteringsfunktionen nödvändig men långt ifrån tillräcklig, och hävdar att försvar i butiksskala kräver statisk analys, kod- och semantisk analys, sandlådekörning och ett responsteam bakom dem.

Vad som är fastställt, och vad som inte är det

En not om källhänvisning först, eftersom det har betydelse för allt ovan. Kois ursprungliga inlägg går inte längre att nå på den publicerade adressen. Den koi.ai-URL som arkivet hänvisar till omdirigerar nu till en produktsida för Palo Alto Networks Cortex, efter Palo Alto Networks förvärv av Koi, som företaget meddelade slutfördes den 14 april 2026. Så Kois siffror och citat här är hämtade från medier som läste rapporten medan den var tillgänglig – The Hacker News den 2 februari, eSecurity Planet den 3 februari, Gadget Review den 11 februari – och från Antiy CERT, som direkt hänvisar till Koi-rapporten i sin egen februarianalys. Själva Koi-inlägget kunde inte läsas för den här artikeln.

Fastställt: att Koi granskade 2 857 skills och rapporterade 341 skadliga, varav 335 i en och samma kampanj; mekanismen med förutsättningslockbete på båda operativsystemen; kommando- och kontrolladressen 91.92.242[.]30; reverse shell och .env-exfiltreringsutstickarna; rapporteringsfunktionen; och VirusTotal-integrationen med pipelinen som beskrivs ovan. Att verklig skada föreligger är ställt utom tvivel — Antiy registrerade 14 285 nedladdningar över 60 fortfarande tillgängliga paket från en enda uppladdare, och OpenSourceMalware uppskattade en utgivares totala antal till nästan 7 000 nedladdningar — och de data som nyttolasterna var ute efter är exakt de data som en agentvärd koncentrerar: plånboksnycklar, exchange-API-nycklar, SSH-nycklar, molntoken, webbläsarlösenord.

Avvikande: antalet, av skälen i avsnittet ovan, och etiketten för skadlig programvarufamilj.

Inte fastställt, åtminstone inte i något som den här artikeln har kunnat läsa: hur många som faktiskt installerade en skadlig skill, hur många inloggningsuppgifter som stals, eller om några av de stulna medlen eller nycklarna har spårats. Antiy säger att skadliga skills "hade laddats ned tusentals gånger och infekterat Windows- och macOS-användare" — det är en bedömning av exponering, inte en offerräkning, och ingen utgivare har tagit fram en sådan. Om alla 341 annonser var aktiva när Koi publicerade är inte heller det angivet.

Det bestående faktumet är formen på misslyckandet snarare än aritmetiken. En marknadsplats där vem som helst kunde publicera, i ett ekosystem där att installera ett paket innebär att ge det agentens autentiseringsuppgifter, producerade en kampanj vars hela exploit var en README som uppmanade användaren att köra något – och det första automatiserade försvaret kom sex dagar senare, inriktat på signaturer och modellgranskning snarare än på den tillitsmodell som gjorde lockbetet effektivt.