มัลแวร์ขโมยข้อมูลเริ่มเก็บเกี่ยวคอนฟิก OpenClaw และโทเค็นเกตเวย์

ในเดือนกุมภาพันธ์ 2026 มัลแวร์ขโมยข้อมูลแบบทั่วไปได้ขโมยสภาพแวดล้อมการกำหนดค่าของเอเจนต์ OpenClaw ไปจากเครื่องที่ติดเชื้อ ซึ่งรวมถึงไฟล์ JSON ที่เก็บโทเค็นเกตเวย์ของเอเจนต์ ไฟล์ JSON ที่เก็บคีย์ลงนามอุปกรณ์ และไฟล์ Markdown ที่กำหนดบุคลิกและหน่วยความจำของเอเจนต์ Hudson Rock บริษัทข่าวกรองภัยคุกคามที่เผยแพร่การค้นพบนี้ เรียกสิ่งนี้ว่าหมุดหมายในพฤติกรรมของมัลแวร์ขโมยข้อมูล โดยอธิบายว่าเป็นการเปลี่ยนผ่านจากข้อมูลรับรองในเบราว์เซอร์ไปสู่ตัวตนของเอเจนต์ AI ส่วนบุคคล BleepingComputer รายงานข้อกล่าวอ้างของบริษัทว่านี่เป็นกรณีแรกในสภาพแวดล้อมจริงที่เป็นเช่นนี้ และ The Hacker News ก็รายงานเรื่องนี้ในเดือนนั้นเช่นกัน มัลแวร์ขโมยข้อมูลนี้ไม่ได้ถูกสร้างขึ้นสำหรับ OpenClaw บันทึกของ Hudson Rock ระบุว่ากิจวัตรกวาดไฟล์แบบวงกว้างได้กวาดหานามสกุลไฟล์และชื่อไดเรกทอรีที่ละเอียดอ่อน เช่น .openclaw และเก็บโฟลเดอร์นั้นไปโดยบังเอิญ ซึ่งเป็นเหตุผลที่บริษัทอธิบายว่ามัลแวร์นี้ฟลุคเจอของมีค่า มากกว่าจะตั้งใจล่าเอเจนต์ คลังบันทึกจัดเหตุการณ์นี้เป็นเหตุการณ์ข้อมูลรับรองความรุนแรงสูงที่ระดับความมั่นใจ B โดยมีสถานะการโต้แย้งเป็นเท็จ และมีการบันทึกความเสียหายจริงไว้ และ Orca AI Incident Archive เก็บบันทึกนี้ไว้เคียงข้างรายการ OpenClaw ที่อยู่ใกล้เคียง โดยแต่ละรายการได้รับการประเมินจากหลักฐานของตนเอง

สามไฟล์ และสิ่งที่แต่ละไฟล์ปลดล็อก

OpenClaw ซึ่งเดิมชื่อ Clawdbot และ Moltbot เป็นเอเจนต์ AI ส่วนบุคคลที่โฮสต์เอง ซึ่งเก็บสถานะแบบถาวรไว้ในไฟล์บนเครื่องของผู้ใช้เอง บทความของ Hudson Rock ที่สรุปโดย The Hacker News และ BleepingComputer ระบุสามสิ่งทีถูกนำออกจากไดเรกทอรี OpenClaw ของเหยื่อ openclaw.json มีที่อยู่อีเมล Gmail ที่ถูกปิดข้อมูลบางส่วน พาธเวิร์กสเปซ และโทเค็นเกตเวย์ที่มีเอนโทรปีสูงซึ่งจัดเก็บไว้ภายใต้ gateway.auth.token บันทึกทางเทคนิคของ Hudson Rock ระบุว่าโทเค็นนั้นจะทำให้ผู้โจมตีเชื่อมต่อกับอินสแตนซ์ OpenClaw ภายในเครื่องของเหยื่อจากระยะไกลได้หากพอร์ตถูกเปิดเผย หรือปลอมตัวเป็นไคลเอนต์ในคำขอที่ผ่านการรับรองความถูกต้องไปยังเกตเวย์ AI

device.json เก็บ publicKeyPem และ privateKeyPem ของอุปกรณ์ผู้ใช้ ซึ่งเป็นคู่กุญแจที่ OpenClaw ใช้สำหรับการจับคู่และสำหรับการดำเนินการลงนาม Hudson Rock กล่าวว่า ด้วยครึ่งที่เป็นกุญแจส่วนตัว ผู้โจมตีสามารถลงนามข้อความในนามอุปกรณ์ของเหยื่อได้ ซึ่งอาจข้ามการตรวจสอบ "Safe Device" และเข้าถึงบันทึกที่เข้ารหัสหรือบริการคลาวด์ที่จับคู่กับอุปกรณ์นั้นได้ soul.md พร้อมกับไฟล์หน่วยความจำ AGENTS.md และ MEMORY.md เก็บหลักการปฏิบัติงาน แนวทางพฤติกรรม และขอบเขตทางจริยธรรมของเอเจนต์ และตามคำอธิบายของบริษัท น่าจะเก็บบันทึกประจำวันของกิจกรรมผู้ใช้ ข้อความส่วนตัว และเหตุการณ์ในปฏิทิน — สิ่งที่บริษัทเรียกว่าพิมพ์เขียวแห่งชีวิตของผู้ใช้

รายละเอียดหนึ่งในคำชี้แจงของผู้ขายที่ควรแยกออกจากส่วนที่เหลือคือ Hudson Rock นำไฟล์ที่ถูกขโมยไปผ่านระบบ AI ของตัวเองชื่อ Enki เพื่อประเมินความเสี่ยงแบบอัตโนมัติ และสรุปผลลัพธ์นั้นระบุว่าโทเค็น คีย์ และบริบทส่วนบุคคลเมื่อรวมกันแล้วถือเป็นการ compromise ตัวตนดิจิทัลของผู้ใช้โดยสมบูรณ์ นั่นคือแบบจำลองความเสี่ยงที่นำมาใช้กับไฟล์เหล่านั้น ไม่ใช่บันทึกว่าผู้โจมตีได้ทำอะไรกับไฟล์เหล่านั้น

กลไกนี้เป็นของรวมสารพัด ไม่ใช่รายการในเช็กลิสต์

สรุปหนึ่งบรรทัดของคลังเอกสารระบุว่า ข้อมูลรับรองของเอเจนต์ "ได้เข้าสู่รายการตรวจสอบมาตรฐานของ infostealer อย่างเป็นทางการแล้ว" เอกสารที่อยู่ข้างใต้กล่าวถึงเรื่องที่แคบกว่า Hudson Rock ระบุชัดเจนว่าไม่มีโมดูลเฉพาะของ OpenClaw เข้ามาเกี่ยวข้อง: มัลแวร์ได้รันรูทีนทั่วไปที่เก็บไฟล์ตามนามสกุลและตามชื่อไดเรกทอรี และ .openclaw ตรงกับเงื่อนไข Alon Gal ผู้ร่วมก่อตั้งและ CTO ของ Hudson Rock บอกกับ BleepingComputer ว่า รูทีนดังกล่าวสแกนหาไฟล์และไดเรกทอรีที่มีคีย์เวิร์ด เช่น "token" และ "private key"

โมดูลเฉพาะทางนี้เป็นการคาดการณ์ ไม่ใช่การสังเกต Hudson Rock เขียนว่าเมื่อเอเจนต์อย่าง OpenClaw ถูกผสานรวมเข้ากับเวิร์กโฟลว์วิชาชีพมากขึ้นเรื่อย ๆ นักพัฒนาโปรแกรมขโมยข้อมูลมีแนวโน้มจะปล่อยโมดูลที่ออกแบบมาเฉพาะเพื่อถอดรหัสและแยกวิเคราะห์ไฟล์เหล่านี้ เช่นเดียวกับที่พวกเขาทำกับ Chrome หรือ Telegram ในปัจจุบัน เมื่อวันที่ 26 มกราคม 2026 บริษัทเดียวกันได้เผยแพร่โพสต์ชื่อ ClawdBot: The New Primary Target for Infostealers in the AI Era โดยโต้แย้งว่าเอเจนต์นี้เก็บความทรงจำ โปรไฟล์ และโทเค็นการรับรองความถูกต้องไว้ใน Markdown และ JSON แบบข้อความธรรมดา ซึ่งมักอ่านได้โดยโปรเซสใด ๆ ที่ทำงานในฐานะผู้ใช้ กรณีในเดือนกุมภาพันธ์เป็นครั้งแรกที่บริษัทรายงานว่าการคาดการณ์นั้นเกิดขึ้นจริงบนเครื่องจริง

ความแตกต่างนี้ไม่ใช่เรื่องทางวิชาการ การเก็บกวาดแบบบังเอิญหมายความว่าการเปิดเผยข้อมูลเป็นคุณสมบัติของสถานที่ที่เอเจนต์เก็บความลับไว้ ไม่ใช่เพราะผู้โจมตีตัดสินใจล่า OpenClaw หากมีตัวแยกวิเคราะห์เข้ามา ไฟล์เดียวกันจะกลายเป็นไฟล์ที่อ่านได้ในวงกว้าง ไม่ใช่แค่ถูกเก็บรวบรวมได้ และคำถามด้านการป้องกันจะเปลี่ยนจากสิทธิ์ของไดเรกทอรีไปเป็นว่าโทเค็นเกตเวย์และคีย์อุปกรณ์ยังเข้าถึงอะไรได้บ้างเมื่อสิ่งเหล่านั้นหายไปแล้ว

เครื่องหนึ่งเครื่อง ผู้ขายหนึ่งราย และร่องรอยแห่งการทำซ้ำอันยาวนาน

โพสต์ของ Hudson Rock กล่าวถึงเหยื่อรายเดียว (เอกพจน์) และเผยแพร่ภาพหน้าจอโครงสร้างไดเรกทอรีของเครื่องที่ติดเชื้อหนึ่งเครื่อง ไม่ได้ระบุว่าตัวอย่างมาจากกี่เครื่อง และไม่มีรายงานข่าวใดที่อ่านเพื่อบทความนี้ที่เพิ่มกรณีที่สอง Bill Toulas จาก BleepingComputer พูดคุยกับ Gal โดยตรงและมีรายละเอียดที่โพสต์ของ Hudson Rock ไม่มี ได้แก่การระบุว่าเป็น Vidar และการสแกนตามคำสำคัญ แต่ข้อสังเกตพื้นฐานยังคงเป็นการติดเชื้อหนึ่งครั้งที่เห็นโดยผู้ขายรายเดียว Infosecurity Magazine และ SecurityAffairs ย้ำข้อค้นพบเดียวกันภายในหนึ่งวันหลังจากโพสต์ของ Hudson Rock และ ThaiCERT ย้ำอีกครั้งในคำแนะนำเมื่อวันที่ 25 กุมภาพันธ์ 2026 การที่ CERT ระดับประเทศย้ำรายงานของผู้ขายถือเป็นการขยายเสียง ไม่ใช่การยืนยันโดยอิสระ

นั่นคือสิ่งที่บันทึกความเชื่อมั่นระดับ B ของคลังข้อมูลระบุไว้: มีการบันทึกไว้ แต่มาจากแหล่งเดียวหรือแหล่งทุติยภูมิ บันทึกยังระบุวันที่เป็นกุมภาพันธ์ 2026 ด้วยความละเอียดระดับเดือน บัญชีของ BleepingComputer ระบุวันที่ของการโจรกรรมได้แคบกว่า แต่คลังข้อมูลมีเพียงเดือน และบทความนี้ยึดตามความละเอียดของคลังข้อมูล ไม่มีสิ่งใดที่อ่านเพื่อบทความนี้โต้แย้งบัญชีของ Hudson Rock และบันทึกถูกทำเครื่องหมายว่าไม่มีข้อโต้แย้ง ข้อควรระวังไม่ใช่ความขัดแย้ง แต่คือการวางกรอบเหตุการณ์สำคัญ — กรณีจริงกรณีแรก การเปลี่ยนจากข้อมูลรับรองในเบราว์เซอร์ไปสู่ตัวตนของเอเจนต์ — เป็นการกำหนดลักษณะโดยบริษัทที่พบตัวอย่าง และไม่มีฐานอ้างอิงสาธารณะใดที่ใช้ตรวจสอบคำว่า "first" ได้

ไม่มีการกำหนดหมายเลข CVE ไม่มีคำแนะนำด้านความปลอดภัยของ OpenClaw ที่กล่าวถึงการโจรกรรมนี้ปรากฏในแหล่งข้อมูลที่ใช้อ่านสำหรับบทความนี้ และไม่มีหน่วยงานกำกับดูแลใดเผยแพร่ข้อค้นพบของตนเองเกี่ยวกับเรื่องนี้ เอกสารเดียวที่เกี่ยวข้องกับภาครัฐซึ่งพบคือคำแนะนำของ ThaiCERT ซึ่งกล่าวซ้ำรายงานของ Hudson Rock ต่างจากข้อบกพร่องของซอฟต์แวร์ เหตุการณ์นี้ไม่มีแพตช์ให้ชี้ได้ เพราะไฟล์เหล่านั้นไม่ได้ทำอะไรที่ซอฟต์แวร์มองว่าผิด ไฟล์เหล่านั้นอยู่ในรูปแบบข้อความธรรมดาบนดิสก์ ข้าง ๆ เอเจนต์

สิ่งที่บันทึกไม่ได้ยืนยัน

• ไม่มีแหล่งข้อมูลใดที่อ่านสำหรับบทความนี้แสดงให้เห็นว่ามีการใช้โทเค็นเกตเวย์หรือคีย์อุปกรณ์ที่ถูกขโมย ภัยที่ Hudson Rock กล่าวถึงนั้นมีเงื่อนไขตลอดทั้งสิ้น — "หากพอร์ตถูกเปิดเผย", "อาจข้ามการป้องกันได้" — และการรายงานที่กล่าวซ้ำถึงสิ่งเหล่านี้ก็ไม่ได้เพิ่มการบุกรุกที่พิสูจน์ได้แต่อย่างใด

• การระบุที่มาว่าเป็น Vidar ถูกทำให้คลุมเครือโดยบริษัทที่ระบุเอง Gal อธิบายว่าตัวอย่างนี้น่าจะเป็นตัวแปรหนึ่งของ Vidar ซึ่งเป็นสตีลเลอร์สำเร็จรูปที่ใช้งานมาตั้งแต่ปลายปี 2018 โดยอิงจากรายละเอียดการติดเชื้อ; ไม่มีแฮชที่เผยแพร่ การวิเคราะห์ตัวอย่าง หรือการเปรียบเทียบกับตระกูลมัลแวร์ ปรากฏในแหล่งข้อมูลที่อ่านในที่นี้

• จำนวนผู้ใช้ที่ได้รับผลกระทบยังไม่เป็นที่ทราบแน่ชัด Hudson Rock รายงานเหยื่อหนึ่งรายและไม่ได้ระบุจำนวนเครื่องอื่น ๆ และไม่มีรายงานภายหลังใดที่พบสำหรับบทความนี้ให้ข้อมูลจำนวนดังกล่าว

• ว่าข้อมูลที่ถูกขโมยมาถูกซื้อขาย แลกเปลี่ยน หรือถูกจัดทำดัชนีโดยบริการทางอาชญากรรมใด ๆ หรือไม่นั้น ไม่ได้รับการยืนยันจากแหล่งข้อมูลใดที่อ่านในที่นี้

• อันตรายที่แท้จริงซึ่งบันทึกนี้ชี้ให้เห็นคือการลักลอบนำข้อมูลออกไป (exfiltration) นั่นเอง: ข้อมูลรับรองและกุญแจของเครื่องจริงเครื่องหนึ่งได้หลุดออกไปจากเครื่องแล้ว นั่นเป็นเกณฑ์ที่ต่ำกว่าการยึดเครื่อง และบันทึกนี้ไม่ได้อ้างว่ามีการยึดเครื่อง

สิ่งที่เปลี่ยนแปลงไปแล้ว และสิ่งที่ยังไม่ครอบคลุม

OpenClaw ประกาศความร่วมมือกับ VirusTotal เมื่อวันที่ 7 กุมภาพันธ์ 2026 ก่อนที่ Hudson Rock จะเผยแพร่เรื่องราวของตน ข้อตกลงนี้สแกนทุกสกิลที่อัปโหลดไปยัง ClawHub — โดยบรรจุเป็นแพ็กเกจ แฮชมัน ตรวจสอบแฮชกับ VirusTotal และรันการวิเคราะห์ Code Insight ของ VirusTotal กับสิ่งใดก็ตามที่ยังไม่เคยพบ — และโครงการได้จับคู่สิ่งนี้กับแบบจำลองภัยคุกคามและการตรวจสอบการกำหนดค่าที่อาจผิดพลาด มันจัดการกับมาร์เก็ตเพลส มันไม่ได้เข้ารหัส openclaw.json บนดิสก์ของผู้ใช้ และมันไม่ได้ทำอะไรกับมัลแวร์ที่กำลังทำงานอยู่บนปลายทางและอ่านไดเรกทอรีบ้าน ซึ่งเป็นเส้นทางโจมตีในบันทึกนี้

สิ่งที่ใกล้เคียงที่สุดกับคำแนะนำที่มุ่งเป้ามาที่ความล้มเหลวนี้เป็นเชิงคำแนะนำมากกว่าเชิงเทคนิค บันทึกของ ThaiCERT ลงวันที่ 25 กุมภาพันธ์ 2026 ย้ำข้อค้นพบของ Hudson Rock และแนะนำให้รันเอเจนต์ในเครื่องเสมือนหรือคอนเทนเนอร์แบบแซนด์บ็อกซ์ภายใต้สิทธิ์น้อยที่สุด หลีกเลี่ยงการเข้าถึงข้อมูลอ่อนไหวโดยตรง ตรวจสอบแหล่งที่มาของทุกสกิลที่ติดตั้ง เฝ้าติดตามบันทึกกิจกรรม และเตรียมแผนตอบสนองเหตุการณ์ที่รวมถึงการรีเซ็ตระบบทั้งหมดและการหมุนเวียนข้อมูลรับรอง บัญชีสาธารณะของ OpenClaw เองเกี่ยวกับงานด้านความปลอดภัย ซึ่งเผยแพร่ในเดือนเมษายน 2026 ระบุว่าข้อมูลลับถูกย้ายจากการพึ่งพา "โปรดระวัง" ไปสู่การอ้างอิง เพื่อให้ข้อมูลรับรองไม่อยู่ในพรอมต์ บันทึก ทรานสคริปต์ หรือสถานะของเอเจนต์ — เป็นทิศทางเดียวกัน แม้ว่าโพสต์นั้นจะไม่ได้กล่าวถึงไฟล์การกำหนดค่าที่ Hudson Rock บันทึกไว้ก็ตาม

สิ่งที่ต้องจับตาคือว่าจะมีตัวแยกวิเคราะห์เฉพาะทางเกิดขึ้นหรือไม่ คำพยากรณ์ของ Hudson Rock คือพวกมันจะเกิดขึ้น และโพสต์เดือนมกราคมของบริษัทคือเหตุผลที่ควรให้ความสำคัญกับคำพยากรณ์นี้ มากกว่าที่ตัวอย่างเดือนกุมภาพันธ์จะเป็นหลักฐานยืนยัน จนถึงตอนนั้น บันทึกนี้ยังคงเป็นเหตุการณ์ขโมยข้อมูลครั้งเดียวที่มีเอกสารหลักฐานครบถ้วน: สถานะเอเจนต์ในรูปแบบข้อความธรรมดา ซึ่งถูกขโมยโดยสตีลเลอร์ที่ไม่ได้ตั้งใจมองหามัน โดยความเสียหายถูกประเมินโดยผู้จำหน่าย มากกว่าที่จะถูกสังเกตเห็นในสภาพแวดล้อมจริง