ทีมงานความปลอดภัย SlowMist ได้ค้นพบว่าศูนย์ปลั๊กอิน (Plugin Center) ของโครงการ OpenClaw AI Agent ที่เปิดเผยแหล่งที่มา (Open Source) กำลังตกเป็นเป้าของการโจมตีการปนเปื้อนห่วงโซ่คุณภาพ (Supply Chain Poisoning) ในวงกว้าง ผู้โจมตีได้ปลอมแปลงขั้นตอน "การติดตั้ง/การเริ่มต้นใช้งาน" ภายในไฟล์ SKILL.md และใช้การเข้ารหัส Base64 เพื่อซ่อนคำสั่งที่เป็นอันตราย ดำเนินการโจมตีแบบ "สองขั้นตอน" (Two-Stage Attack Chain) การสแกนด้านความปลอดภัยได้ตรวจพบทักษะที่เป็นอันตราย 341 รายการ ซึ่งทักษะเหล่านี้จะหลอกล่อให้ผู้ใช้ป้อนรหัสผ่าน รวบรวมข้อมูลเกี่ยวกับโฮสต์และเอกสาร และส่งข้อมูลไปยังเซิร์ฟเวอร์ของผู้โจมตี โครงสร้างพื้นฐานที่เป็นอันตรายนี้เชื่อมโยงกับกลุ่มแฮกเกอร์ Poseidon คำแนะนำในการป้องกัน: • ตรวจสอบขั้นตอนการติดตั้งทั้งหมดในไฟล์ SKILL.md • ระมัดระวังคำเตือนที่ขอให้ป้อนรหัสผ่านระบบ • ดาวน์โหลดและติดตั้งขึ้นอยู่กับแหล่งที่มาอย่างเป็นทางการเท่านั้น SlowMist ได้ส่งการแจ้งเตือนผ่านระบบ MistEye ให้กับลูกค้าเกี่ยวกับทักษะที่เป็นอันตราย 472 รายการและ IOC ที่เกี่ยวข้อง
SlowMist รายงานว่า ClawHub กลายเป็นเป้าหมายของการโจมตีการปนเปื้อนโซ่อุปทาน
TechFlowแชร์
สรุป
ข่าวบนบล็อกเชนเปิดเผยว่า SlowMist Security ได้ค้นพบการโจมตีการปนเปื้อนห่วงโซ่อุปทานครั้งใหญ่ที่มุ่งเป้าไปที่ ClawHub ซึ่งเป็นศูนย์ปลั๊กอินสำหรับโครงการ OpenClaw ที่เป็น AI Agent แบบเปิดแหล่งข้อมูล ผู้โจมตีกำลังแทรกคำสั่งที่เป็นอันตรายที่ถูกเข้ารหัส Base64 เข้าไปในไฟล์ SKILL.md เพื่อขโมยรหัสผ่าน รวบรวมข้อมูลระบบ และอัปโหลดไฟล์ไปยังเซิร์ฟเวอร์ภายนอก พบทั้งหมด 341 ทักษะที่เป็นอันตราย โดยโครงสร้างพื้นฐานเชื่อมโยงกับกลุ่มแฮกเกอร์ Poseidon ระบบ MistEye ของ SlowMist ได้ตรวจจับทักษะที่เป็นอันตราย 472 ทักษะและ IOCs ที่เกี่ยวข้อง ผู้ใช้ถูกกระตุ้นให้ตรวจสอบขั้นตอนการติดตั้งทั้งหมดในไฟล์ SKILL.md หลีกเลี่ยงการป้อนรหัสผ่านระบบ และแหล่งที่มาของขึ้นต่อก็ต้องมาจากแหล่งที่ยืนยันแล้วเท่านั้น ข้อมูลดัชนีเงินเฟ้อยังคงเป็นความกังวลรองสำหรับนักพัฒนาเนื่องจากความเสี่ยงด้านความปลอดภัยที่เพิ่มขึ้น
แหล่งที่มา:แสดงต้นฉบับ
คำปฏิเสธความรับผิดชอบ: ข้อมูลในหน้านี้อาจได้รับจากบุคคลที่สาม และไม่จำเป็นต้องสะท้อนถึงมุมมองหรือความคิดเห็นของ KuCoin เนื้อหานี้จัดทำขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลทั่วไปเท่านั้น โดยไม่มีการรับรองหรือการรับประกัน และจะไม่ถูกตีความว่าเป็นคำแนะนำทางการเงินหรือการลงทุน KuCoin จะไม่รับผิดชอบต่อความผิดพลาดหรือการละเว้นในเนื้อหา หรือผลลัพธ์ใดๆ ที่เกิดจากการใช้ข้อมูลนี้
การลงทุนในสินทรัพย์ดิจิทัลอาจมีความเสี่ยง โปรดประเมินความเสี่ยงของผลิตภัณฑ์และความเสี่ยงที่คุณยอมรับได้อย่างรอบคอบตามสถานการณ์ทางการเงินของคุณเอง โปรดดูข้อมูลเพิ่มเติมได้ที่ข้อกำหนดการใช้งานและเอกสารเปิดเผยข้อมูลความเสี่ยงของเรา