Malware GhostClaw Finge Ferramenta de Dev para Roubar Credenciais
Uma campanha perigosa de malware direcionada a desenvolvedores de software surgiu, com um pacote npm rogue se passando por uma ferramenta de desenvolvimento confiável para drenar silenciosamente credenciais, carteiras de criptomoedas, chaves SSH, sessões de navegador e até conversas do iMessage.
Pacote Malicioso no npm
O pacote, publicado sob o nome @openclaw-ai/openclawai, disfarça-se como um instalador de linha de comando legítimo chamado "OpenClaw Installer" enquanto implanta uma cadeia de infecção profundamente oculta que opera inteiramente em segundo plano. Internamente, o malware identifica-se como GhostLoader, embora a campanha mais ampla seja rastreada sob o nome GhostClaw.
Engenharia Social no Núcleo
A parte mais impressionante da cadeia de infecção do GhostClaw é como ele engana desenvolvedores para entregarem voluntariamente suas senhas do sistema. Após um desenvolvedor executar o comando de instalação, o dropper de primeira etapa, setup.js, apresenta um instalador CLI falso convincente com barras de progresso animadas e saída de log de sistema realista.
Coleta de Dados Extensiva
O que torna o GhostClaw especialmente alarmante é a vasta gama de dados que ele coleta. Desde senhas do sistema e bancos de dados do macOS Keychain até credenciais de nuvem armazenadas em configurações AWS, GCP e Azure, o malware praticamente não deixa nada intocado. Ele também varre pastas de desktop em busca de frases semente de criptomoedas BIP-39, captura todas as senhas salvas no navegador e cartões de crédito em vários navegadores baseados em Chromium.
Recomendações de Remediação
Desenvolvedores que instalaram este pacote devem remover o diretório .npm_telemetry, verificar arquivos de configuração de shell como ~/.zshrc, ~/.bashrc e ~/.bash_profile em busca de linhas de gancho injetadas, encerrar quaisquer processos monitor.js em execução e desinstalar completamente o pacote. Todas as credenciais devem ser rotacionadas imediatamente.
Considerando a profundidade com que este malware se incorpora, uma reimagem completa do sistema é fortemente recomendada para garantir a eliminação total da ameaça.