惡意軟體GhostClaw透過npm套件竊取開發者的加密錢包資料

根據Cryptopolitan報導，一種名為GhostClaw的新型惡意軟體正在針對macOS設備上的加密貨幣錢包。

此惡意軟體偽裝成合法的OpenClaw CLI工具，在npm註冊表中存在一週，然後在感染178名開發者後將其刪除。一旦開發者執行"npm install"命令，一個隱藏的腳本會全域安裝GhostClaw套件，並透過混淆的配置檔來逃避檢測。GhostClaw每三秒掃描一次剪貼簿，捕獲私鑰、種子短語、公鑰以及其他加密貨幣錢包和交易相關資料。

第二階段有效載荷下載後，GhostLoader掃描Chromium瀏覽器、macOS Keychain和系統儲存中的加密貨幣錢包資料，克隆瀏覽器會話以訪問登入的錢包，並竊取連接到OpenAI和Anthropic等AI平台的API令牌。被竊取的資料透過Telegram、GoFile和命令伺服器發送給攻擊者。