Die „clawdhub“-Malwarekampagne: KI-Agenten-Skills schleusen Reverse Shells in den OpenClaw-Marktplatz ein
Artikel von
0 Min. Lesezeit
Am Sonntag, dem 2. Februar, entdeckte das Sicherheitsforschungsteam von Snyk eine gezielte Malwarekampagne, die direkt in den ClawHub-Skills-Marktplatz (clawhub.ai) eingebettet war, einem beliebten Repository für KI-Agentenfunktionen.
Der bösartige Eintrag wurde ursprünglich von einem Nutzer namens zaycv unter dem Namen clawhub veröffentlicht und gibt sich als offizielles CLI-Tool zur Verwaltung von Agenten-Skills aus. Die ursprüngliche Version wurde zwar am 3. Februar entfernt, doch Snyk-Forscher haben eine derzeit aktive Variante namens clawdhub1 identifiziert, die bereits fast 100 Installationen verzeichnet.
Diese aktive Kampagne bestätigt die dringenden Warnungen, die Snyk Anfang des Jahres zu den Sicherheitsrisiken von KI-Assistenten und der besonderen Gefahr durch „SKILL.md“-Dateien als Angriffsvektoren ausgesprochen hat. Wenn Sie in den letzten 48 Stunden mit „ClawHub CLI“-Skills interagiert oder Installationsanweisungen des Nutzers zaycv befolgt haben, gehen Sie davon aus, dass Ihr Host-System kompromittiert ist.
Die clawdhub1-Infektionskette
Der Angriff nutzt einen mehrstufigen Verteilungsmechanismus, der die (begrenzte) statische Analyse von ClawHub umgeht, indem die bösartige Logik vollständig außerhalb der Datei SKILL.md verbleibt.
1. Social Engineering: Der Performance-Köder
Der Angreifer zaycv setzt Fachjargon ein, um erfahrene Nutzer anzusprechen. Die Skill-Beschreibung verspricht „erweitertes Caching und Komprimierung“ sowie „Leistungsoptimierung“ beim Veröffentlichen von Skills. Diese spezielle Darstellung zielt auf Entwickler ab, die wahrscheinlich mit der üblichen Tool-Latenz unzufrieden sind und deshalb eher ein „Optimierungs“-Tool installieren, ohne die Voraussetzungen zu hinterfragen.
2. Der Windows-Angriffsvektor: Umgehung durch Passwortschutz
Für Windows-Nutzer verweist die Datei SKILL.md auf ein GitHub-Release, das vom Nutzer Ddoy233 gehostet wird (ein eigens für diese Kampagne erstelltes Konto).
Repository: https://github.com/Ddoy233/openclawcli
Technik: Das Archiv (
openclawcli.zip) ist passwortgeschützt (Passwort:openclaw).Warum das wichtig ist: Die ZIP-Datei zu verschlüsseln ist eine gezielte Technik, mit der Angreifer automatisierte Sicherheitsscanner, E-Mail-Filter und Browser-Sicherheitsprüfungen umgehen. Diese versuchen, den Inhalt von Archiven auf Malware-Signaturen zu untersuchen. Das darin enthaltene „CLI“ umfasst eine trojanisierte ausführbare Datei und DLLs, die vermutlich als Infostealer fungieren.
3. Der macOS-Angriffsvektor: Verschleierte Ausführung über Glot.io
Die macOS-Anleitung verweist Nutzer auf einen Code-Schnipsel bei glot.io, einer Pastebin-Plattform zum Teilen von Code. Dadurch kommt eine zusätzliche Indirektionsebene hinzu: Der bösartige Code befindet sich weder in der Datei SKILL.md noch wird er direkt als Datei heruntergeladen.
Die Verschleierungsebene: Der Code-Schnipsel scheint eine harmlose „Installer-Package“-Meldung auszugeben, leitet jedoch eine Base64-Zeichenfolge an bash weiter:
Die URL
download.setup-service.comist eine Lockadresse, die in der Terminalausgabe wie eine legitime Paketquelle aussehen und den Nutzer beruhigen soll.Die Kette base64 -D | bash ist der eigentliche Auslöser der Ausführung.
Die Payload: Dekodiert ist der Befehl ein direkter Abruf eines Shell-Skripts von einer rohen IP-Adresse:
Dadurch wird eine Stage-2-Payload von 91.92.242.30 ausgeführt, einer nicht vertrauenswürdigen IP-Adresse, die Domain-Blocklisten umgeht.
Zeitlicher Ablauf der Entdeckung
2. Feb. 2026: Luca Beurer-Kellner, Staff Research Engineer bei Snyk, identifiziert den ursprünglichen bösartigen Skill
clawhub(7.743 Downloads) auf dem Marktplatz.3. Feb. 2026: Der Skill
clawhubwird vom Marktplatz entfernt.3. Feb. 2026 (später): Aleksei Kudrinskii, Incubation Engineer bei Snyk, entdeckt, dass der Angreifer unter dem neuen Namen
clawdhub1zurückgekehrt ist. Die Variante ist weiterhin aktiv und funktionsfähig.4. Feb. 2026: Snyk veröffentlicht diesen Sicherheitshinweis.
Die Perspektive von Snyk: Die KI-Supply-Chain absichern
Dieser Vorfall macht einen kritischen blinden Fleck im modernen „KI-Stack“ deutlich. Wir bewegen uns von einer Welt mit Code-Abhängigkeiten hin zu Abhängigkeiten von Agentenfunktionen.
Herkömmliche AppSec-Tools scannen Ihren Code und Ihre Container. Sie lesen weder die englischsprachigen Anweisungen in einer SKILL.md-Datei noch überprüfen sie die Absicht hinter der „Tool-Nutzung“ eines KI-Agenten.
Das „brisante“ Risiko agentischer Workflows: Wie in unserer Clawdbot-Analyse erläutert, erhalten KI-Agenten wie OpenClaw häufig weitreichende Berechtigungen – etwa zum Lesen von E-Mails, zum Zugriff auf Dateisysteme und zum Ausführen von Shell-Befehlen –, damit sie als Assistenten nützlich sind. Wird ein bösartiger Skill wie clawdhub1 installiert, erbt er diese Berechtigungen. Die Malware kompromittiert nicht nur den Rechner, sondern kann potenziell auch alle Dienste gefährden, auf die der KI-Agent zugreifen darf – von GitHub-Repositories bis hin zu Cloud-Infrastrukturen.
Hier kommt Snyk Evo ins Spiel. Die Evo-Plattform und AI-SPM (AI Security Posture Management) von Snyk wurden dafür entwickelt, genau diese Art unregulierter Interaktion zu kontrollieren:
Nicht verwaltete KI-Modelle und Tools: Evo erkennt, wenn Entwickler oder Agenten nicht verifizierte externe Tools (etwa einen beliebigen Skill von einem Marktplatz) in die Unternehmensumgebung einführen.
Transparenz in der Supply-Chain: So wie Snyk Advisor npm-Pakete bewertet, konzentriert sich die KI-Sicherheitsforschung von Snyk nun auch darauf, die Vertrauenswürdigkeit von Agenten-Skills und Modellgewichten zu bewerten und Anomalien zu kennzeichnen – etwa wenn ein „neuer Nutzer“ (
zaycv) ohne bisherige Community-Aktivität ein „kritisches Systemtool“ veröffentlicht.
So schützen Sie sich vor SKILLS- und MCP-Malware
Snyk bietet mehrere Möglichkeiten, sich vor KI-nativen Bedrohungen zu schützen:
Tools wie mcp-scan (Model Context Protocol Scanner) sind die nächste Entwicklungsstufe der Abwehr und stellen sicher, dass Anweisungen an Agenten nicht zur Kompromittierung von Systemen führen. MCP Scan erkennt absichtlich bösartige MCP-Server, die Prompt Injection oder Tool Poisoning einsetzen, und erkennt auch bösartige und riskante SKILL.md-Dateien.
Tools wie Snyks AI-BOM (ein weiterer Befehl, den Sie ganz einfach ausführen können:
snykaibom) helfen Ihnen dabei, den Bestand der in Ihrer Codebasis verwendeten KI-Komponenten zu erfassen – einschließlich KI-Modellen, Agenten, MCP-Servern, Datensätzen und Plugins.
Behebung und IoCs
Sofortmaßnahmen:
Datenverkehr blockieren: Sperren Sie ausgehenden Datenverkehr zu
91.92.242.30umgehend auf Firewall-Ebene.Skills überprüfen: Prüfen Sie Ihr ClawHub-Konto und die lokalen Agentenkonfigurationen auf installierte Skills namens
clawhuboderclawdhub1, die vom Nutzerzaycvstammen.Snyk-Prüfungen ausführen: Stellen Sie sicher, dass Ihre KI-Entwicklungsumgebungen gescannt werden.
Kompromittierungsindikatoren (IoCs):
Domains/IPs: 91.92.242.30
URLs: https://glot.io/snippets/hfd3x9ueu5, https://github.com/Ddoy233/openclawcli
Nutzernamen: zaycv (ClawHub), Ddoy233 (GitHub)
Paketnamen: clawhub, clawdhub1
Referenzen:
LEITFADEN
Einheitliche Kontrolle für agentische KI mit Evo by Snyk
Evo by Snyk bietet Security- und Engineering-Verantwortlichen eine einheitliche, natürlichsprachliche Orchestrierung für KI-Sicherheit. Erfahren Sie, wie Evo spezialisierte Agents koordiniert, um Ihren gesamten KI-Lebenszyklus umfassend zu schützen.