Siber Muhbir

"@openclaw-ai/openclawai" adlı paket, 3 Mart 2026'da "openclaw-ai" adlı bir kullanıcı tarafından kayıt listesine yüklendi. Bugüne kadar 178 kez indirildi. Kütüphane yazı yazıldığı ana kadar hâlâ indirilebilir durumda.

Paketi keşfeden JFrog, paketin sistem kimlik bilgilerini, tarayıcı verilerini, kripto cüzdanlarını, SSH anahtarlarını, Apple Anahtar Zinciri veritabanlarını ve iMessage geçmişini çalmak, ayrıca uzaktan erişim yeteneklerine sahip kalıcı bir RAT, SOCKS5 proxy ve canlı tarayıcı oturum klonlaması kurmak için tasarlandığını söyledi.

"Saldırı, geniş veri toplaması, kurbanın sistem şifresini toplamak için sosyal mühendislik kullanımı ve dayanıklılığı ile C2 [komut-kontrol] altyapısının karmaşıklığıyla dikkat çekiyor," dedi güvenlik araştırmacısı Meitar Palas. "İçeride, kötü amaçlı yazılım kendini GhostLoader olarak tanımlıyor."

Kötü niyetli mantık, paketi küresel olarak yeniden yükleyen bir postinstall kancası ile tetiklenir; bu kanca "npm i -g @openclaw-ai/openclawai." komutuyla yeniden yüklenir. Kurulum tamamlandıktan sonra, OpenClaw ikili dosyası "package.json" dosyasındaki "bin" özelliğiyle "scripts/setup.js"yi işaret eder.

"bin" alanının, paket kurulumu sırasında kullanıcının PATH'ine eklenmesi gereken çalıştırılabilir dosyaları tanımlamak için kullanıldığını belirtmekte fayda var. Bu da paketi küresel erişilebilir bir komut satırı aracına dönüştürür.

"setup.js" dosyası, çalıştırıldığında animasyonlu ilerleme çubuklarıyla ikna edici sahte bir komut satırı arayüzü gösteren ve OpenClaw'ın ana bilgisayara yüklendiği izlenimini veren ilk aşama dropper olarak hizmet veriyor. Sözde kurulum adımı tamamlandıktan sonra, betik sahte bir iCloud Anahtar Zinciri yetkilendirme isteği gösteriyor ve kullanıcılardan sistem şifrelerini girmelerini istiyor.

Aynı zamanda, script C2 sunucusundan şifrelenmiş ikinci aşama JavaScript yükünü ("trackpipe[.]dev"), ardından çözülür, geçici bir dosyaya yazılır ve arka planda çalışmaya devam etmek üzere ayrılmış bir çocuk süreç olarak ortaya çıkar. Geçici dosya, 60 saniye sonra aktivitenin izlerini kapatmak için silinir.

"Safari dizinine erişilemezse (Tam Disk Erişimi yoksa), betik kullanıcıya FDA vermesini isteyen bir AppleScript diyalogu gösterir; bu diyalog, adım adım talimatlar ve doğrudan Sistem Tercihlerini açan bir düğmeyle birlikte." "Bu, ikinci aşama yükünün Apple Notes, iMessage, Safari geçmişi ve Mail verilerini çalmasını sağlıyor."

Yaklaşık 11.700 satırlık JavaScript ikinci aşaması, kalıcı bir bilgi hırsızı ve RAT çerçevesidir; kalıcı bir sistem, veri toplama, tarayıcı şifresini çözme, C2 iletişimi, SOCKS5 proxy ve canlı tarayıcı klonlama yapabiliyor. Ayrıca çok çeşitli veri çalmaya da donanımlı -

• macOS Anahtar Zinciri, hem yerel login.keychain-db hem de tüm iCloud Anahtar Zinciri veritabanlarını kapsıyor
• Google Chrome, Microsoft Edge, Brave, Vivaldi, Opera, Yandex ve Comet gibi tüm Chromium tabanlı tarayıcılardan kimlik bilgileri, çerezler, kredi kartları ve otomatik doldurma verileri
• Masaüstü cüzdan uygulamaları ve tarayıcı uzantılarından veri
• Kripto para cüzdanı tohum ifadeleri
• SSH anahtarları
• AWS, Microsoft Azure, Google Cloud, Kubernetes, Docker ve GitHub için geliştirici ve bulut kimlik bilgileri
• Yapay zeka (AI) ajanı yapılandırmaları ve
• FDA tarafından korunan veriler, Apple Notes, iMessage geçmişi, Safari gezinme geçmişi, Posta hesabı yapılandırmaları ve Apple hesap bilgileri dahil olmak üzere

Son aşamada, toplanan veriler bir tar.gz arşivine sıkıştırılır ve doğrudan C2 sunucusu, Telegram Bot API'si ve GoFile.io dahil olmak üzere birden fazla kanal aracılığıyla sızdırılır.

Üstelik, kötü amaçlı yazılım her üç saniyede bir pano içeriğini izlemesini ve özel anahtarlar, WIF anahtarı, SOL özel anahtarı, RSA özel anahtarı, BTC adresi, Ethereum adresi, AWS anahtarı, OpenAI anahtarı ve Strike anahtarına karşılık gelen dokuz önceden tanımlanmış desenden birine uyan verileri ileten kalıcı bir daemon moduna giriyor.

Diğer özellikler arasında çalışan süreçleri takip etmek, gelen iMessage sohbetlerini gerçek zamanlı taramak ve C2 sunucusundan gönderilen komutları çalıştırmak için keyfi kabuk komutunu çalıştırmak, kurbanın varsayılan tarayıcısında URL açmak, ek yük indirmek, dosya yüklemek, SOCKS5 proxy'sini başlatmak/durdurmak, mevcut tarayıcıları listelemek, tarayıcı profilini klonlamak ve başsız modda başlatmak yer alır. tarayıcı klonunu durdurun, kendini imha edin ve kendini güncelledin.

Tarayıcı klonlama özelliği özellikle tehlikelidir çünkü mevcut tarayıcı profiliyle başsız bir Chromium örneği başlatır ve bu profil çerezler, giriş ve geçmiş verilerini içerir. Bu, saldırganın kimlik bilgilerine erişmeden tamamen kimlik doğrulaması sağlanmış bir tarayıcı oturumu sağlar.

JFrog "@openclaw-ai/openclawai paketi, sosyal mühendislik, şifreli yük teslimatı, geniş veri toplama ve kalıcı RAT'ı tek bir npm paketinde birleştiriyor," dedi JFrog.

"Sahte CLI yükleyicisi ve Anahtar Zinciri promptu, temkinli geliştiricilerden sistem şifrelerini çıkarmak için yeterince ikna edicidir ve ele geçirildiğinde, bu kimlik bilgileri macOS Anahtar Zinciri şifre çözme ve tarayıcı kimlik bilgileri çıkarma işlemlerini açar, aksi takdirde işletim sistemi düzeyindeki korumalarla engellenecek."

Diğer haberlerimiz hakkında daha fazla bilgi için Twitter sayfamızı, Instagram sayfamızı ve LinkedIn sayfamızı takip etmeyi unutmayın.