A equipe de segurança da SlowMist descobriu que o centro de plugins ClawHub do projeto OpenClaw AI Agent open-source está sofrendo um ataque em cadeia de fornecimento em grande escala. Os atacantes se disfarçam como "etapas de instalação/inicialização de dependências" no arquivo SKILL.md, ocultando comandos maliciosos codificados em Base64 para implementar uma "cadeia de ataque em duas etapas". A varredura de segurança já identificou 341 habilidades maliciosas, esses malwares roubam senhas de usuários, coletam informações e documentos da máquina e carregam os dados para servidores dos atacantes. A infraestrutura maliciosa associada está ligada à organização de hackers Poseidon. Recomendações de proteção: • Auditar todas as "etapas de instalação" no SKILL.md • Fique atento a prompts solicitando a senha do sistema • Obtenha dependências e ferramentas apenas por canais oficiais A SlowMist já emitiu um alerta aos clientes através do sistema MistEye, envolvendo 472 habilidades maliciosas e IOC associados.
SlowMist Relata que ClawHub Torna-se Alvo de Ataques de Envenenamento da Cadeia de Suprimentos
TechFlowCompartilhar
Resumo
Notícias na cadeia revelam que a SlowMist Security descobriu um ataque de envenenamento de cadeia de fornecimento direcionado ao ClawHub, o hub de plugins para o projeto OpenClaw de agente de IA de código aberto. Os atacantes estão injetando comandos maliciosos codificados em Base64 em arquivos SKILL.md para roubar senhas, coletar dados do sistema e carregar arquivos em servidores externos. Um total de 341 habilidades maliciosas foi encontrado, com infraestrutura ligada ao grupo de hackers Poseidon. O sistema MistEye da SlowMist sinalizou 472 habilidades maliciosas e IOC's relacionados. Os usuários são instados a revisar todas as etapas de instalação nos arquivos SKILL.md, evitar a entrada de senhas do sistema e obter dependências apenas de origens verificadas. Os dados de inflação permanecem uma preocupação secundária para os desenvolvedores diante dos crescentes riscos de segurança.
Fonte:Mostrar original
Aviso legal: as informações nesta página podem ter sido obtidas de terceiros e não refletem necessariamente os pontos de vista ou opiniões da KuCoin. Este conteúdo é fornecido apenas para fins informativos gerais, sem qualquer representação ou garantia de qualquer tipo, nem deve ser interpretado como aconselhamento financeiro ou de investimento. A KuCoin não é responsável por quaisquer erros ou omissões, ou por quaisquer resultados do uso destas informações.
Os investimentos em ativos digitais podem ser arriscados. Avalie cuidadosamente os riscos de um produto e a sua tolerância ao risco com base nas suas próprias circunstâncias financeiras. Para mais informações, consulte nossos termos de uso e divulgação de risco.