Acronis: 575 ondsinnede skills på Hugging Face og ClawHub leverer trojanere og kryptominere
lørdag 9. mai · KI-generert · Kilde: Cyber Security News
Advarer mot 575 ondsinnede OpenClaw-skills som bruker indirekte prompt-injeksjon for å få KI-agenter til å laste ned trojanere, AMOS Stealer og kryptominere fra ClawHub og Hugging Face.
Acronis Threat Research Unit publiserte funnene gjennom Cyber Security News og dokumenterer en aktiv kampanje som flytter forsyningskjede-angrep fra tradisjonelle kode-repoer til KI-økosystemene. To kontoer står for det meste: «hightower6eu» med 334 skills (58 prosent) og «sakaen736jih» med 199 skills (34,6 prosent).
Skillene utgir seg for å være nyttige verktøy som YouTube-transkriptsammendrag, men instruerer brukeren til å laste ned passordbeskyttede arkiver eller kjøre kodede kommandoer. Windows-payload er pakket med VMProtect. macOS-versjonen henter AMOS Stealer fra IP 91.92.242.30 etter en base64-kodet kommando.
Det mest urovekkende er angrepsmekanismen i seg selv: indirekte prompt-injeksjon innebygd i skill-filer som agentene leser og handler på. Fordi OpenClaw-agenter er designet for å handle autonomt basert på instruksjoner i skill-definisjoner, blir de ufrivillige medhjelpere når en bruker installerer en kompromittert skill.
«Cybercriminals now enter through your suppliers instead of your front door.» — Acronis Threat Research Unit
En andre Windows-payload bruker 30-byte XOR-nøkkel for å dekryptere strenger ved kjøring, løser NT API-er dynamisk og injiserer kode i explorer.exe. C2-trafikk går AES-kryptert over HTTPS til velvet-parrot.com:443, og kryptomineren maskeres som svchost.exe med persistens via planlagte oppgaver og Defender-eksklusjoner.
For norske utviklere som bygger med agent-rammeverk er signalet tydelig. Skill-markedsplasser har samme tillitsproblem som npm og PyPI hadde for fem år siden, men angrepsoverflaten er større fordi agentene utfører instruksjonene autonomt. Hugging Face dataset-repoer brukes også som mellomlagring i to dokumenterte kampanjer mot vietnamesisk finanssektor (ITHKRPAW) og en annen som bruker batch-script for shellcode-injeksjon (FAKESECURITY).
Hva bør du gjøre?
- Auditer OpenClaw-skills installert på utviklingsmaskiner for kodede kommandoer eller eksterne nedlastingsinstruksjoner. Acronis dokumenterer dette som primær infeksjonsvektor.
- Blokker IP
91.92.242.30og domenetvelvet-parrot.compå nettverksnivå. Overvåk uventet prosess-injeksjon iexplorer.exe. - Behandle KI-modeller, datasett og agent-utvidelser som upålitelige inputs. Samme validering som for tredjeparts kode i npm eller PyPI.