Infostealers börjar skörda OpenClaw-konfigurationer och gateway-token

I februari 2026 plockade en vanligt förekommande informationstjälare ut konfigurationsmiljön för en OpenClaw-agent från en infekterad dator: JSON-filen som innehöll agentens gateway-token, JSON-filen som innehöll dess enhetssigneringsnyckel och Markdown-filerna som definierar dess persona och minne. Hudson Rock, hotunderrättelseföretaget som publicerade fyndet, kallade det en milstolpe i informationstjälares beteende och beskrev en förskjutning från webbläsaruppgifter till identiteter för personliga AI-agenter; BleepingComputer rapporterade företagets påstående att detta var det första fallet av sitt slag i verklig miljö, och The Hacker News rapporterade det också den månaden. Informationstjälaren var inte byggd för OpenClaw. Hudson Rocks redogörelse säger att en bred filinsamlingsrutin genomsökte efter känsliga filändelser och katalognamn som .openclaw och tog mappen av en slump, vilket är anledningen till att företaget beskriver programvaran som att ha gjort ett guldfynd snarare än att ha jagat agenten. Arkivet registrerar händelsen som en autentiseringsincident med hög allvarlighetsgrad vid tillförlitlighetsnivå B, omtvistad: falskt, med verklig skada registrerad, och Orca AI Incident Archive innehåller denna post tillsammans med sina närliggande OpenClaw-poster, var och en bedömd utifrån sina egna bevis.

Tre filer, och vad var och en av dem låser upp

OpenClaw, tidigare Clawdbot och Moltbot, är en självhostad personlig AI-agent som har persistent tillstånd i filer på användarens egen maskin. Hudson Rocks rapport, sammanfattad av The Hacker News och av BleepingComputer, listar tre saker som tagits från offrets OpenClaw-katalog. openclaw.json innehöll en delvis maskad Gmail-adress, arbetsytans sökväg och en gateway-token med hög entropi som lagrats under gateway.auth.token. Hudson Rocks tekniska not säger att den token skulle göra det möjligt för en angripare att ansluta fjärran till offrets lokala OpenClaw-instans om porten är exponerad, eller att utge sig för att vara klienten i autentiserade förfrågningar till AI-gatewayen.

device.json innehöll användarens enhets publicKeyPem och privateKeyPem, det nyckelpar som OpenClaw använder för parkoppling och för signeringsåtgärder. Enligt Hudson Rock kan en angripare med den privata halvan signera meddelanden som offrets enhet, potentiellt kringgå kontrollerna för "Safe Device" och nå krypterade loggar eller molntjänster som är parkopplade med den enheten. soul.md rymde, tillsammans med minnesfilerna AGENTS.md och MEMORY.md, agentens arbetsprinciper, beteenderiktlinjer och etiska gränser och innehöll enligt företagets beskrivning sannolikt dagliga loggar över användarens aktivitet, privata meddelanden och kalenderhändelser – vad det kallar en ritning över användarens liv.

En detalj i leverantörens redogörelse är värd att skilja från resten. Hudson Rock körde de stulna filerna genom sitt eget AI-system, Enki, för en automatiserad riskbedömning, och dess sammanfattning av resultatet är att token, nycklar och personlig kontext tillsammans utgör en total kompromettering av användarens digitala identitet. Det är en riskmodell som tillämpats på filerna. Det är inte en dokumentation av något som en angripare gjorde med dem.

Mekanismen var en salig blandning, inte en post i en checklista.

Arkivets enradssammanfattning säger att agentautentiseringsuppgifter "formellt har tagit sig in på standardchecklistan för infostealers". Dokumentet under den säger något snävare. Hudson Rock är tydlig med att ingen OpenClaw-specifik modul var inblandad: skadeprogrammet körde en generisk rutin som samlade in filer efter filändelse och katalognamn, och .openclaw matchade. Alon Gal, Hudson Rocks medgrundare och CTO, berättade för BleepingComputer att rutinen sökte igenom filer och kataloger som innehöll nyckelord som "token" och "private key".

Den dedikerade modulen är en prognos, inte en observation. Hudson Rock skriver att i takt med att agenter som OpenClaw blir alltmer integrerade i professionella arbetsflöden kommer stealer-utvecklare sannolikt att släppa moduler som specifikt är utformade för att dekryptera och tolka dessa filer, ungefär som de gör för Chrome eller Telegram i dag. Den 26 januari 2026 hade samma företag publicerat ett inlägg med titeln ClawdBot: The New Primary Target for Infostealers in the AI Era, där de hävdade att agenten förvarar minnen, profiler och autentiseringstoken i klartext i Markdown och JSON som ofta är läsbara för alla processer som körs som användaren. Februarifallet är första gången företaget rapporterar att den förutsägelsen besannades på en verklig maskin.

Åtskillnaden är inte akademisk. En tillfällig genomsökning innebär att exponeringen är en egenskap hos var agenten förvarar sina hemligheter, inte att angripare har beslutat sig för att jaga OpenClaw. Om parsers dyker upp blir samma filer läsbara i stor skala i stället för bara insamlingsbara, och den defensiva frågan flyttas från katalogbehörigheter till vad en gateway-token och en enhetsnyckel fortfarande kan nå när de väl är borta.

En maskin, en leverantör och en lång rad av upprepningar

Hudson Rocks inlägg beskriver ett offer, i singular, och publicerar skärmbilder av en infekterad maskins katalogträd. Det säger inte hur många maskiner urvalet kom från, och ingen av de artiklar som lästs för den här artikeln tillför ett andra fall. BleepingComputers Bill Toulas talade direkt med Gal och har detaljer som Hudson Rocks inlägg inte har – Vidar-tillskrivningen och den nyckelordsbaserade skanningen – men den underliggande observationen är fortfarande en enda infektion, sedd av en enda leverantör. Infosecurity Magazine och SecurityAffairs upprepade samma fynd inom ett dygn efter Hudson Rocks inlägg, och ThaiCERT upprepade det i en rådgivning den 25 februari 2026. Att ett nationellt CERT upprepar en leverantörsrapport är förstärkning, inte oberoende bekräftelse.

Det är vad arkivets konfidens B registrerar: dokumenterat, men från en enda eller sekundär källa. Posten är också daterad till februari 2026 med månadsprecision; BleepingComputers redogörelse daterar stölden snävare, men arkivet anger bara månaden, och den här artikeln håller sig till arkivets precision. Inget som lästs för den här artikeln motsäger Hudson Rocks redogörelse, och posten är markerad som obestridd. Förbehållet är inte en motsägelse. Det är att milstolpsramningen – det första verkliga fallet, skiftet från webbläsaruppgifter till agentidentiteter – är en karakterisering från företaget som hittade provet, och det finns ingen offentlig baslinje mot vilken "första" kan kontrolleras.

Inget CVE tilldelades. Ingen säkerhetsrådgivning från OpenClaw som behandlar denna stöld förekommer i de källor som lästs för den här artikeln, och ingen tillsynsmyndighet har publicerat någon egen slutsats om den – det enda myndighetsnära dokument som hittats är ThaiCERT:s rådgivning, som upprepar Hudson Rocks rapport. Till skillnad från ett mjukvarufel har denna incident ingen patch att peka på, eftersom filerna inte gjorde något som mjukvaran betraktade som fel. De låg i klartext på disken, bredvid agenten.

Vad handlingarna inte fastställer

Ingen källa som lästs för den här artikeln visar att en stulen gateway-token eller enhetsnyckel används. Hudson Rocks skadeverkningar är genomgående villkorliga – "om porten är exponerad", "potentiellt kringgå" – och den bevakning som upprepar dem tillför inte ett påvisat intrång.

Företaget som gjorde tillskrivningen av Vidar har försett den med förbehåll. Gal beskrev provet som sannolikt en variant av Vidar, en färdigutvecklad stealer som varit aktiv sedan slutet av 2018, utifrån infektionsdetaljerna; ingen publicerad hash, provanalys eller familjejämförelse förekommer i de källor som lästs här.

• Antalet drabbade användare är okänt. Hudson Rock rapporterade ett offer och angav ingen siffra för ytterligare maskiner, och ingen senare rapportering som hittats för den här artikeln angav någon sådan siffra.

• Om det stulna materialet har handlats med, sålts eller indexerats av någon kriminell tjänst fastställs inte av någon källa som lästs här.

• Den verkliga skada som registret markerar är själva exfiltreringen: en riktig maskins autentiseringsuppgifter och nycklar lämnade maskinen. Det är en lägre tröskel än ett övertagande, och registret hävdar inte ett övertagande.

Vad som redan hade förändrats, och vad det inte omfattade

OpenClaw meddelade ett partnerskap med VirusTotal den 7 februari 2026, innan Hudson Rock publicerade sin redogörelse. Upplägget skannar varje skill som laddas upp till ClawHub – paketerar den, hashar den, kontrollerar hashen mot VirusTotal och kör VirusTotals Code Insight-analys på allt som inte har setts tidigare – och projektet kombinerade det med en hotmodell och en granskning för potentiella felkonfigurationer. Det riktar sig mot marknadsplatsen. Det krypterar inte openclaw.json på en användares disk, och det gör inget åt skadlig programvara som redan körs på endpointen och läser hemkatalogen, vilket är vektorn i den här posten.

Det närmaste vägledning som riktar sig till detta misslyckande är rådgivande snarare än teknisk. ThaiCERT:s meddelande av den 25 februari 2026 upprepar Hudson Rocks fynd och rekommenderar att man kör agenter i sandlådebaserade virtuella maskiner eller containrar med minsta möjliga behörighet, undviker direkt åtkomst till känsliga data, verifierar källan för varje installerad färdighet, övervakar aktivitetsloggar och förbereder en incidenthanteringsplan som omfattar fullständiga systemåterställningar och rotation av autentiseringsuppgifter. OpenClaws egen offentliga redogörelse för sitt säkerhetsarbete, publicerad i april 2026, säger att hemligheter flyttades bort från "var försiktig" till referenser så att autentiseringsuppgifter inte ligger i prompter, loggar, transkript eller agenttillstånd – samma riktning, även om det inlägget inte behandlar de konfigurationsfiler som Hudson Rock dokumenterade.

Det man bör hålla utkik efter är huruvida dedikerade parsers dyker upp. Hudson Rocks prognos är att de kommer att göra det, och deras januaripost är anledningen till att ta prognosen på allvar snarare än att februariexemplet är beviset på den. Fram till dess framstår det dokumenterade fallet som en enda väl dokumenterad stöld: agenttillstånd i klartext, taget av en stealer som inte letade efter det, där skadan bedömts av leverantören i stället för att ha observerats i det vilda.