深潮 TechFlow の報告によると、3月23日、CryptoNewsによると、GhostClawと呼ばれるマルウェアが最近macOSシステム上の暗号ウォレットを標的に攻撃を仕掛け、主に開発者コミュニティを狙っている。このマルウェアは、偽のOpenClaw CLIインストーラーとしてnpmレジストリにアップロードされており、アカウント名はopenclaw-ai、3月3日に公開され、3月10日に削除された。感染した開発者は合計178人に上る。インストール後、マルウェアはユーザーにmacOSのパスワード入力を促し、システム権限を取得。その後、リモートコマンド＆コントロール（C2）サーバーから第2段階のペイロードGhostLoaderをダウンロードし、データ窃取とリモートアクセスを実行する。GhostLoaderはChromiumブラウザ、macOSのKeychain、ローカルストレージをスキャンし、秘密鍵、ニーモニックフレーズ、SSHキー、クラウド認証情報、AIプラットフォームのAPIトークンを抽出する。また、3秒ごとにクリップボードを監視し、暗号関連の敏感なデータを捕捉する。盗まれたデータはTelegram、GoFile、コマンドサーバーを通じて攻撃者に送信される。
悪意のある「ロブスター」ソフトウェア GhostClaw が開発者の暗号通貨ウォレットデータを窃取し、178人が感染しました
深潮 TechFlow の報告によると、3月23日、CryptoNewsによると、GhostClawと呼ばれるマルウェアが最近macOSシステム上の暗号ウォレットを標的に攻撃を仕掛け、主に開発者コミュニティを狙っている。
このマルウェアは、偽のOpenClaw CLIインストーラーとしてnpmレジストリにアップロードされており、アカウント名はopenclaw-ai、3月3日に公開され、3月10日に削除された。感染した開発者は合計178人に上る。インストール後、マルウェアはユーザーにmacOSのパスワード入力を促し、システム権限を取得。その後、リモートコマンド＆コントロール（C2）サーバーから第2段階のペイロードGhostLoaderをダウンロードし、データ窃取とリモートアクセスを実行する。
GhostLoaderはChromiumブラウザ、macOSのKeychain、ローカルストレージをスキャンし、秘密鍵、ニーモニックフレーズ、SSHキー、クラウド認証情報、AIプラットフォームのAPIトークンを抽出する。また、3秒ごとにクリップボードを監視し、暗号関連の敏感なデータを捕捉する。盗まれたデータはTelegram、GoFile、コマンドサーバーを通じて攻撃者に送信される。