惡意軟件GhostClaw通過npm包竊取開發者加密錢包數據

據市場消息，一款名為GhostClaw的新型惡意軟件正在針對macOS設備上的加密錢包。該惡意軟件通過偽裝成合法的OpenClawCLI工具，在npm註冊表中存在一周時間，感染了178名開發者後被移除。一旦開發者運行「npminstall」命令，隱藏腳本會全局安裝GhostClaw包，並通過混淆的設置文件逃避檢測。GhostClaw每三秒掃描一次剪貼板，捕獲私鑰、助記詞、公鑰等加密錢包和交易相關數據。在第二階段的載荷下載後，GhostLoader會掃描Chromium瀏覽器、macOS鑰匙串和系統存儲中的加密錢包數據，克隆瀏覽器會話以獲取已登錄錢包的訪問權限，並竊取連接AI平台（如OpenAI和Anthropic）的APIToken。竊取的數據通過Telegram、GoFile和命令服務器發送給攻擊者。