Malware GhostClaw rouba dados de carteira a programadores - Coinfea

Hackers estão a usar um novo malware conhecido como GhostClaw para atacar carteiras de criptomoedas em máquinas macOS. O instalador falso do OpenClaw captura chaves privadas, acesso às carteiras e outros dados sensíveis após a instalação. O pacote falso foi carregado por um utilizador chamado ‘openclaw-ai’ a 3 de março.

ConteúdosO malware GhostClaw escaneia a área de transferência em busca de dados de criptomoedasAtacantes intensificam atividades de roubo de criptomoedasO malware permaneceu no registo npm durante uma semana e, até agora, infectou cerca de 178 desenvolvedores antes de ser removido a 10 de março. Segundo relatos, @openclaw-ai/openclawai fingia ser uma ferramenta legítima de linha de comando OpenClaw, mas na verdade realizava um ataque em múltiplas fases. O malware recolhia dados sensíveis dos desenvolvedores. Extraía carteiras de criptomoedas, passwords do Keychain do macOS, credenciais de cloud, chaves SSH e configurações de agentes de IA. Os dados extraídos conectam os hackers às plataformas cloud, bases de código e criptomoedas.

GhostClaw malware escaneia a área de transferência em busca de dados de criptomoedas

Segundo investigadores, o malware GhostClaw monitora a área de transferência a cada três segundos para capturar dados de criptomoedas. Isto inclui chaves privadas, frases-semente, chaves públicas e outros dados sensíveis relacionados com carteiras e transações de criptomoedas. Assim que o desenvolvedor executa o comando ‘npm install’, um script oculto instala o pacote GhostClaw globalmente. A ferramenta executa um ficheiro de instalação ofuscado nos computadores dos desenvolvedores para evitar detecção.

Um instalador falso do OpenClaw CLI aparece então na tela. Solicita à vítima que insira a sua password do macOS através de um pedido do Keychain. O malware verifica a password usando uma ferramenta nativa do sistema. Depois, descarrega uma segunda carga útil em JavaScript de um servidor C2 remoto. A carga útil, chamada GhostLoader, atua como um ladrão de dados e ferramenta de acesso remoto. O roubo de dados começa após o download da segunda carga útil.

O GhostLoader faz o trabalho pesado. Escaneia navegadores Chromium, o Keychain do macOS e o armazenamento do sistema em busca de dados de carteiras de criptomoedas. Também monitora quase continuamente a área de transferência para capturar dados sensíveis de criptomoedas. O malware até clona sessões de navegador. Isto dá aos hackers acesso direto às carteiras de criptomoedas já autenticadas e a outros serviços relacionados. Além disso, a ferramenta maliciosa rouba tokens de API que conectam os desenvolvedores a plataformas de IA como OpenAI e Anthropic.

Atacantes intensificam atividades de roubo de criptomoedas

Os dados roubados são enviados aos atores de ameaça via Telegram, GoFile e servidores de comando. O malware também pode executar múltiplos comandos, implementar mais cargas úteis e abrir novos canais de acesso remoto. Outra campanha maliciosa que aproveita o hype do OpenClaw também se espalhou no GitHub. O malware, descoberto por investigadores de cibersegurança da OX Security, visa contactar diretamente os desenvolvedores e roubar dados de criptomoedas.

Os atacantes criam tópicos de issues em repositórios do GitHub e marcam potenciais vítimas. Depois, afirmam falsamente que os desenvolvedores selecionados são elegíveis para receber 5.000 dólares em tokens CLAW. As mensagens levam os desenvolvedores a um site falso que parece exatamente com openclaw[.]ai. O site de phishing envia um pedido de ligação à carteira de criptomoedas que inicia ações prejudiciais ao ser aceite pela vítima. Associar uma carteira ao site pode levar ao roubo instantâneo de fundos de criptomoedas, alertam os investigadores da OX Security.

Análises adicionais do ataque revelam que a configuração de phishing usa uma cadeia de redirecionamento para token-claw[.]xyz e um servidor de comandos em watery-compost[.]today. Um ficheiro JavaScript com código malicioso rouba endereços de carteiras de criptomoedas e transações, enviando-os ao hacker. A OX Security encontrou um endereço de carteira ligado ao ator de ameaça que pode conter criptomoedas roubadas. O código malicioso possui funcionalidades para monitorizar ações do utilizador e remover dados do armazenamento local, dificultando a deteção e análise do malware.