Вредоносное ПО GhostClaw крадет зашифрованные данные кошельков разработчиков через пакет npm.

PANews сообщила 23 марта, что, по данным Cryptopolitan, новое вредоносное ПО под названием GhostClaw нацелено на зашифрованные кошельки на устройствах macOS. Этот вредонос, замаскированный под легитимный инструмент OpenClaw CLI, находился в реестре npm в течение недели, заразив 178 разработчиков, прежде чем был удален 10 марта. После того, как разработчик выполняет команду "npm install", скрытый скрипт глобально устанавливает пакет GhostClaw, обходя обнаружение с помощью замаскированных файлов конфигурации.

GhostClaw сканирует буфер обмена каждые три секунды, перехватывая зашифрованные данные кошельков и транзакций, такие как закрытые ключи, мнемонические фразы и открытые ключи. На втором этапе, после загрузки полезной нагрузки, GhostLoader сканирует зашифрованные данные кошельков в браузере Chromium, хранилище ключей macOS и системном хранилище, клонирует сеансы браузера для получения доступа к подключенным кошелькам и крадет API-токены, связанные с платформами искусственного интеллекта, такими как OpenAI и Anthropic. Украденные данные отправляются злоумышленникам через Telegram, GoFile и командные серверы.