Openclaw Attaque d'usurpation de identité vole les mots de passe et les données du portefeuille crypto

Un paquet npm malveillant imitant un installateur pour le cadre d’intelligence artificielle (IA) Openclaw se propage en diffusant un logiciel malveillant de vol d’identifiants conçu pour prendre discrètement le contrôle des machines des développeurs.

Des chercheurs en sécurité révèlent un paquet npm Openclaw malveillant

Les chercheurs en sécurité affirment que ce paquet fait partie d’une attaque par chaîne d’approvisionnement visant les développeurs utilisant Openclaw et des outils similaires d’agents IA. Une fois installé, le paquet lance une infection en plusieurs étapes qui déploie finalement un cheval de Troie d’accès à distance connu sous le nom de Ghostloader.

L’attaque a été identifiée par JFrog Security Research et divulguée entre le 8 et le 9 mars 2026. Selon le rapport de la société, le paquet est apparu sur le registre npm début mars et avait été téléchargé environ 178 fois au 9 mars. Malgré la divulgation, le paquet est resté disponible sur npm au moment du rapport.

À première vue, le logiciel semble inoffensif. Le paquet utilise un nom qui ressemble à celui des outils officiels d’Openclaw et inclut des fichiers Javascript et une documentation d’apparence ordinaire. Selon les chercheurs, les composants visibles semblent bénins, tandis que le comportement malveillant est déclenché lors du processus d’installation.

Lorsqu’une personne installe le paquet, des scripts cachés s’activent automatiquement. Ces scripts créent l’illusion d’un installateur en ligne de commande légitime, affichant des indicateurs de progression et des messages système conçus pour imiter une procédure d’installation logicielle réelle.

Pendant la séquence d’installation, le programme présente une fausse invite d’autorisation système demandant le mot de passe de l’ordinateur de l’utilisateur. L’invite affirme que cette demande est nécessaire pour configurer en toute sécurité les identifiants pour Openclaw. Si le mot de passe est saisi, le logiciel malveillant obtient un accès accru à des données sensibles du système.

Dans l’ombre, l’installateur récupère une charge utile cryptée depuis un serveur de commande et de contrôle contrôlé par les attaquants. Une fois décryptée et exécutée, cette charge utile installe le cheval de Troie Ghostloader.

Les chercheurs indiquent que Ghostloader établit une persistance sur le système tout en se dissimulant en tant que service logiciel de routine. Le malware contacte périodiquement son infrastructure de commande et de contrôle pour recevoir des instructions de l’attaquant.

Le cheval de Troie est conçu pour collecter une large gamme d’informations sensibles. Selon l’analyse de JFrog, il cible des bases de données de mots de passe, des cookies de navigateur, des identifiants sauvegardés et des magasins d’authentification système pouvant contenir des accès à des plateformes cloud, des comptes développeurs et des services de messagerie.

Les utilisateurs de cryptomonnaies peuvent également courir un risque supplémentaire. Le malware recherche des fichiers liés aux portefeuilles crypto de bureau et aux extensions de portefeuille de navigateur, et scanne les dossiers locaux à la recherche de phrases de récupération ou d’autres informations de récupération de portefeuille.

L’outil surveille également l’activité du presse-papiers et peut récolter des clés SSH et des identifiants de développement couramment utilisés par les ingénieurs pour accéder à une infrastructure distante. Les experts en sécurité affirment que cette combinaison rend les systèmes des développeurs particulièrement attractifs, car ils détiennent souvent des identifiants pour des environnements de production.

En plus du vol de données, Ghostloader inclut des capacités d’accès à distance permettant aux attaquants d’exécuter des commandes, de récupérer des fichiers ou de faire transiter le trafic réseau via le système compromis. Selon les chercheurs, ces fonctionnalités transforment efficacement les machines infectées en points d’appui dans les environnements de développement.

Le logiciel malveillant installe également des mécanismes de persistance pour redémarrer automatiquement après une réinitialisation du système. Ces mécanismes impliquent généralement des répertoires cachés et des modifications des configurations de démarrage du système.

Les chercheurs de JFrog ont identifié plusieurs indicateurs liés à la campagne, notamment des fichiers système suspects liés à un service « npm telemetry » et des connexions à une infrastructure contrôlée par les attaquants.

Les analystes en cybersécurité soulignent que cet incident reflète une tendance croissante des attaques par chaîne d’approvisionnement ciblant les écosystèmes de développeurs. À mesure que les cadres d’IA et les outils d’automatisation gagnent en popularité, les attaquants dissimulent de plus en plus les logiciels malveillants en tant qu’utilitaires utiles pour les développeurs.

Les développeurs ayant installé le paquet sont invités à le supprimer immédiatement, à vérifier les configurations de démarrage du système, à supprimer les répertoires de télémétrie suspects, et à changer tous les mots de passe et identifiants stockés sur la machine affectée.

Les experts en sécurité recommandent également d’installer les outils de développement uniquement à partir de sources vérifiées, de vérifier attentivement les paquets npm avant une installation globale, et d’utiliser des outils de détection des dépendances suspectes dans la chaîne d’approvisionnement.

Le projet Openclaw lui-même n’a pas été compromis, et les chercheurs soulignent que l’attaque repose sur une impersonation du cadre via un nom de paquet trompeur plutôt que sur une exploitation du logiciel officiel.

FAQ 🔎

• Qu’est-ce que le paquet npm Openclaw malveillant ? Le paquet imite un installateur OpenClaw et installe secrètement le malware GhostLoader.
• Que vole le malware Ghostloader ? Il collecte des mots de passe, des identifiants de navigateur, des données de portefeuilles crypto, des clés SSH et des identifiants de services cloud.
• Qui est le plus à risque face à cette attaque de malware npm ? Toute personne ayant installé le paquet, en particulier celles utilisant des cadres d’IA ou des outils de portefeuille crypto, pourrait avoir exposé ses identifiants.
• Que doivent faire les personnes ayant installé le paquet ? Le supprimer immédiatement, vérifier les fichiers de démarrage du système, supprimer les répertoires suspects, et changer tous les identifiants sensibles.