マルウェアGhostClawは、npmパッケージを介して開発者の暗号化されたウォレットデータを盗み出します。

PANewsは3月23日、Cryptopolitanによると、GhostClawと呼ばれる新しいマルウェアがmacOSデバイス上の暗号資産ウォレットを標的にしていると報じた。このマルウェアは、正規のOpenClaw CLIツールに偽装しており、npmレジストリに1週間存在し、3月10日に削除されるまでに178人の開発者に感染した。開発者が「npm install」コマンドを実行すると、隠しスクリプトがGhostClawパッケージをグローバルにインストールし、難読化された設定ファイルを通じて検出を回避する。

GhostClawは3秒ごとにクリップボードをスキャンし、秘密鍵、ニーモニックフレーズ、公開鍵などの暗号資産ウォレットおよび取引関連データを取得する。第2段階でペイロードをダウンロードした後、GhostLoaderはChromiumブラウザ、macOS Keychain、およびシステムストレージ内の暗号資産ウォレットデータをスキャンし、ブラウザセッションを複製してログイン済みウォレットへのアクセスを取得し、OpenAIやAnthropicなどのAIプラットフォームに接続されたAPIトークンを盗む。盗まれたデータは、Telegram、GoFile、およびコマンドサーバーを介して攻撃者に送信される。