Cyberkriminelle missbrauchen OpenClaw

Anzeige

Researcher haben eine neuartige Angriffskampagne analysiert, die gezielt den wachsenden Einsatz von autonomen KI-Agenten Entwicklungs- und Unternehmensumgebungen ins Visier nimmt. Die Angreifer machen sich das Open-Source-Framework OpenClaw zunutze, das KI-Agenten zur Umsetzung komplexer Aufgaben mit weitreichenden Systemzugriffsrechten ausstattet. Das zur Automatisierung von Workflows entwickelte Rahmenwerk wird jetzt als gefährlicher Angriffsvektor instrumentalisiert.

Im Zentrum der Kampagne steht ein manipulierter Skill namens „DeepSeek-Claw“, der Installationsanweisungen für KI-Agenten enthält, die zur Ausführung versteckter Payloads führen können. Nach Aktivierung kommt es zur Installation des Remcos Remote Access Trojaners (RAT) auf Windows-Systemen oder zur Verbreitung des plattformübergreifenden Information Stealers GhostLoader auf macOS- und Linux-Rechnern.

Automatisierte Infektion

Die analysierte Angriffskette wird in Gang gesetzt, wenn ein Entwickler den präparierten OpenClaw-Skill herunterlädt oder klont, in der Annahme, dass es sich um eine legitime Erweiterung zur Systemintegration von DeepSeek handelt. Die dem Repository beigefügte Instruktionsdatei dient dabei als initialer Trigger. Die darin enthaltenen Befehle werden im Workflow entweder manuell angestoßen oder durch den KI-Agenten selbstständig geparst und ausgeführt. Dieser automatisierte Vorgang umgeht traditionelle Interaktionshürden und führt zur stillen Kompromittierung des Systems. Bemerkenswert ist die Aufspaltung der Infektionskette in zwei hochspezifische Pfade, die sich flexibel an das Betriebssystem und die jeweilige Ausführungsmethode anpassen.

In der Datei „SKILL.md“, der im Repository enthaltenen Anleitungsdatei, stellt der Angreifer mehrere Ausführungswege vor. Unter Windows lädt ein PowerShell-Einzeiler ein Remote-MSI-Installationsprogramm herunter und führt es aus, das Remcos RAT installiert. Die manuellen (plattformübergreifenden) Anweisungen sehen hingegen vor, GhostLoader über eine separate Installationsmethode bereitzustellen.

Wird der automatisierte Befehl auf einem Windows-System ausgeführt, initiiert eine versteckte PowerShell-Kommandozeile den direkten Download eines manipulierten Windows Installer-Pakets. Dieses bringt zwei entscheidende Dateien auf das Zielsystem: eine digital signierte, legitime ausführbare Datei der Kommunikationssoftware GoToMeeting sowie eine bösartige Programmbibliothek. Durch die strategische Platzierung der schadhaften Bibliothek im selben Verzeichnis wird eine Schwachstelle in der Suchreihenfolge für Abhängigkeiten ausgenutzt – ein als DLL-Sideloading bekanntes Verfahren. Startet die GoToMeeting-Anwendung, lädt sie unwissentlich die bösartige Datei der Angreifer. So verbergen sich diese im Schatten eines vertrauenswürdigen Prozesses und umgehen verhaltens- und signaturbasierte Erkennungsmuster.

Remcos RAT blendet Sicherheitssysteme

Die geladene Bibliothek agiert anschließend als In-Memory-Shellcode-Loader für den Remcos RAT und bedient sich dabei komplexer Verschleierungstechniken. Um einer tiefergehenden Analyse zu entgehen, patcht der Loader dynamisch die Ereignisablaufverfolgung für Windows (ETW) sowie das Antimalware Scan Interface (AMSI) direkt im Arbeitsspeicher. Diese Eingriffe unterbinden die Telemetriedatenerfassung moderner Sicherheitssysteme und blockieren lokale Speicherscanner zuverlässig. Zudem nutzt der Loader hochentwickelte Anti-Debugging-Mechanismen und misst die Ausführungszeit zur Erkennung von isolierten Sandbox-Analysen. Erst nach der erfolgreichen Umgehung all dieser Schutzschichten wird die eigentliche Payload mithilfe des Tiny Encryption Algorithm entschlüsselt, was den Malware-Akteuren weitreichenden Fernzugriff auf das Netzwerk gewährt.

Für macOS- und Linux-Systeme sowie bei manuellen Installationen via npm oder Shell-Skripten greift der zweite Infektionspfad. Dieser fokussiert gezielt auf die Installation der Stealer-Malware GhostLoader. GhostLoader, auch bekannt als GhostClaw, ist ein Plattform-übergreifender Stealer, der auf Entwicklungsumgebungen abzielt und Entwicklungs-Workflow zur Datenexfiltrierung ausnutzt.

Die Bereitstellung erfolgt über eine stark verschleierte Node.js-Payload, die tief in den npm-Skripten verborgen ist. Auf Apple- und Linux-Rechnern agiert das Skript zudem als Dropper und wendet ausgeklügelte Social-Engineering-Methoden direkt in der Kommandozeile an. Durch gefälschte Passwort-Prompts für administrative Rechte werden Anwender geschickt zur Eingabe ihrer Systemkennwörter verleitet. Nach erfolgreicher Ausführung entwendet der GhostLoader systematisch hochsensible Daten wie den macOS-Keyring, SSH-Keys, Wallets für Kryptowährungen und Cloud-API-Tokens, die im Anschluss verschlüsselt an die Command-and-Control-Server der Angreifer weitergeleitet werden.

KI Workflows im Visier

Die Kampagne verdeutlicht, wie schnell neue KI-Workflows zu Angriffsflächen werden können. Indem klassische Angriffsmethoden mit modernen Automatisierungswerkzeugen verschmelzen, eröffnen sich völlig neue Einfallstore in gut abgeschottete Entwicklerumgebungen. Da autonome KI-Agenten zum Standardrepertoire in der Softwareentwicklung avancieren, müssen Organisationen ihre Sicherheitsarchitekturen anpassen. Drittanbieter-Plugins und Erweiterungen für KI-Frameworks machen rigorose Prüfprozesse vor ihrer Integration erforderlich.

Zudem ist die Implementierung einer strengen Verhaltensüberwachung für externe Skills und Skripte erforderlich, um bösartige Anomalien innerhalb der Ausführungskette frühzeitig zu erkennen. Nur durch eine konsequente proaktive Validierung und ein engmaschiges kontinuierliches Monitoring lassen sich derartige fortschrittliche Bedrohungen erfolgreich abwehren.

Passende Artikel zum Thema

Angriff auf die Autonomie: Wie Cyberkriminelle das OpenClaw-Framework unterwandern

Fachliche Einordnung Die Fachplattform B2BCS ordnet die Entdeckung dieser neuartigen Angriffskampagne im Juli 2026 als kritischen Warnschuss für DevSecOps-Teams und Software-Architekten ein. Die Kampagne zeigt exemplarisch, wie die rasante Einführung autonomer KI-Agenten neue, unkontrollierte Angriffsflächen schafft. Das Open-Source-Framework OpenClaw, das eigentlich für die effiziente Workflow-Automatisierung entwickelt wurde, wird hierbei zum trojanischen Pferd. Da KI-Agenten per Definition mit weitreichenden Systemrechten ausgestattet sind, um Code auszuführen und APIs anzusprechen, reicht ein einziger manipulierter Skill aus, um die gesamte Sicherheitsarchitektur einer Entwicklerumgebung geräuschlos auszuhebeln.

Key-Takeaways

• Der infizierte Skill „DeepSeek-Claw“: Angreifer tarnen eine bösartige Erweiterung als legitimes Integrations-Tool für das populäre KI-Modell DeepSeek. Sobald ein Entwickler den präparierten OpenClaw-Skill herunterlädt oder klont, wird die Infektionskette über die Instruktionsdatei SKILL.md getriggert – oft vollautomatisch durch den ausführenden KI-Agenten selbst.
• Windows-Pfad (DLL-Sideloading & Remcos RAT): Unter Windows lädt ein PowerShell-Befehl ein manipuliertes MSI-Paket herunter. Dieses nutzt das sogenannte DLL-Sideloading: Es platziert eine bösartige Bibliothek neben einer legitimen, digital signierten ausführbaren Datei der Konferenzsoftware GoToMeeting. Beim Start von GoToMeeting wird die Schadsoftware geladen, wodurch signaturbasierte Abwehrmechanismen umgangen werden.
• Aushebelung der Windows-Sicherheit (ETW & AMSI): Der Loader im Arbeitsspeicher (In-Memory) patcht zur Verschleierung dynamisch die Ereignisablaufverfolgung (ETW) sowie das Antimalware Scan Interface (AMSI). Dadurch erblinden lokale Antiviren- und EDR-Scanner, während der Remcos Remote Access Trojaner (RAT) entschlüsselt wird und den Angreifern vollen Systemzugriff gewährt.
• macOS- und Linux-Pfad (GhostLoader): Auf Unix-basierten Systemen wird die Infektion über verschleierte Node.js-Payloads innerhalb von npm-Installationsskripten eingeleitet. Die Malware GhostLoader (auch bekannt als GhostClaw) nutzt täuschend echte Terminal-Passwortabfragen, um administrative Rechte zu erschleichen, und exfiltriert anschließend SSH-Schlüssel, API-Tokens und Krypto-Wallets.
• Automatisierung hebelt klassische Hürden aus: Da KI-Agenten Instruktionen selbstständig parsen und ausführen, entfällt für Angreifer die Notwendigkeit, den menschlichen Benutzer zu einer riskanten Interaktion zu bewegen. Der Agent übernimmt die Ausführung des Schadcodes gutgläubig im Rahmen seines automatisierten Workflows.

Strategische Analyse Die von den Sicherheitsforschern von Zscaler analysierte Kampagne markiert das Ende des klassischen Endpoint-Schutzes in Entwicklerumgebungen. Wenn autonome Agenten die Berechtigung besitzen, Code-Repositories zu klonen, Abhängigkeiten aufzulösen und Systembefehle auszuführen, agieren sie de facto als privilegierte Insider. Traditionelle EDR-Lösungen scheitern, wenn bösartige Aktionen wie AMSI-Bypass oder DLL-Sideloading im Kontext legitimer Entwickler-Tools und durch den KI-Workflow selbst angestoßen werden. Unternehmen müssen den unkontrollierten Einsatz externer KI-Erweiterungen und sogenannter „Skills“ sofort reglementieren, um nicht Opfer automatisierter Supply-Chain-Angriffe zu werden.

Handlungsempfehlung: Unternehmen müssen die Ausführungsrechte von KI-Agenten drastisch einschränken und KI-Drittanbieter-Skills wie klassischen Softwarecode behandeln.

• Implementierung einer Sandbox-Pflicht für KI-Agenten: Lassen Sie autonome Frameworks wie OpenClaw niemals mit uneingeschränkten Rechten direkt auf dem Host-System oder dem lokalen Entwickler-Rechner laufen. KI-Agenten und ihre Workflows müssen in isolierten, flüchtigen Container-Umgebungen (z. B. Docker oder MicroVMs) ausgeführt werden, die keinen Zugriff auf SSH-Keys, Host-Ressourcen oder den macOS-Keyring besitzen.
• Rigoroses Whitelisting und Gatekeeping für KI-Skills: Behandeln Sie jeden externen Skill, jedes Plugin und jede Erweiterung (wie DeepSeek-Claw) mit derselben Sorgfalt wie eine externe Software-Bibliothek. Etablieren Sie einen internen Freigabeprozess und scannen Sie Repositories vor dem Klonen automatisiert auf verdächtige Installationsskripte, unübliche PowerShell-Befehle oder manipulierte Markdown-Anweisungen (SKILL.md).
• Härtung der Endpoint-Telemetrie gegen API-Tampering: Da moderne Loader gezielt AMSI und ETW im Speicher manipulieren, müssen Endpoint-Detection-and-Response-Systeme (EDR/XDR) so konfiguriert werden, dass sie Speicher-Manipulationsversuche (Memory Tampering) und unübliche API-Calls (wie VirtualProtect oder das Patchen bekannter Windows-Schnittstellen) sofort als kritischen Vorfall einstufen und den betroffenen Prozess isolieren.
• Sperrung von administrativem Credential-Harvesting im Terminal: Sensibilisieren Sie Entwicklerteams für gefälschte Passwort-Prompts innerhalb von npm- oder Terminal-Sitzungen. Nutzen Sie moderne Berechtigungsmanagement-Systeme (wie macOS Endpoint Security Framework oder Linux PAM), die unberechtigte Passwortabfragen durch CLI-Tools blockieren oder alarmieren.

„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200