OpenClaw: o pacote de npm que instala um RAT persistente no macOS e rouba dados

Um pacote malicioso publicado no registro do npm é feito passar por um instalador legítimo chamado OpenClaw e foi usado para implantar um troiano de acesso remoto (RAT) que rouba dados sensíveis e mantém presença persistente no macOS. A assinatura de segurança JFrog foi a que assinalou a peça em questão, disponível sob o identificador @openclaw-ai/openclawai, subido pelo usuário "openclaw-ai" em 3 de março de 2026 e com downloads registrados por centenas de usuários.

O engano começa no próprio fluxo de instalação do npm: o pacote abusa dos ganchos de pós-instalação para se instalar de forma global, tornando-se um comando acessível do terminal graças à configuração do campo "bin" em seu package.json, que é precisamente o que permite que um executável seja adicionado ao PATH do sistema. Para quem quiser rever como funciona essa configuração do npm, a documentação oficial explica-o com detalhes: package.json — bin, e os programas do npm estão documentados aqui: npm scripts.

Em sua primeira fase o malware mostra uma interface de linha de comandos falsa, com barras de progresso e mensagens que simulam uma instalação legítima. Após essa representação visual, aparece um quadro que solicita a senha do sistema sob a desculpa de autorizar o acesso ao chaveiro do iCloud. Essa é uma manobra de engenharia social pensada para que o usuário entregue credenciais que o malware precisa para decifrar e acessar dados que o macOS protege por defeito.

Simultaneamente a esse ritual de "instalação", o instalador malicioso descarregado a partir de um servidor de comando e controle um segundo payload criptografado, o descodifica e o executa como um processo independente que fica funcionando em segundo plano; o arquivo temporário que o contém é removido pouco depois para tentar apagar impressões. JFrog documenta que, se você não tiver acesso a algumas pastas do navegador (por exemplo, se não tiver sido concedido o Acesso ao Disco Completo), o instalador mostra uma janela do AppleScript que guia o usuário passo a passo para habilitar permissões em Configuração do Sistema, facilitando assim a coleta posterior de dados protegidos por essas barreiras: Como gerenciar permissões no macOS.

O segundo estádio é, segundo a análise de JFrog, um enorme script JavaScript de milhares de linhas que atua como um framework de roubo de informações e RAT. Entre suas capacidades incluem-se persistência como servidor, extração de senhas e cookies de navegadores Chromium, decifração do chaveiro do macOS (incluindo bases do iCloud Keychain), acesso a carteiras de criptomoedas e extensões, captura de chaves SSH, coleta de credenciais em nuvens públicas e serviços de desenvolvimento, e leitura em tempo real de mensagens de iMessage, notas protegidas e e-mail se conseguir as permissões necessárias. Além disso, vigia a área de transferência a cada poucos segundos em busca de padrões que correspondam a chaves privadas ou tokens - por exemplo, chaves em formato WIF ou sementes de criptomoedas -, um tipo de dado cuja natureza técnica pode ser consultado com mais detalhes aqui: WIF key — learnmeabitcoin.

A rota final do ataque consiste em empacotar o compilado e filtrar para fora por vários canais: subidas diretas ao servidor de comando e controle, uso da API de bots do Telegram para enviar os arquivos roubados e alojamento temporário em serviços como GoFile.io. O malware também incorpora funcionalidades para habilitar um proxy SOCKS5 que permite ao atacante enrutar tráfego através da máquina comprometida, e uma capacidade especialmente inquietante de "clonado" de navegador: lança uma instância de Chromium em modo headless com o perfil do usuário, o que proporciona sessões autenticadas sem necessidade de roubar senhas porque os cookies e o estado de sessão já existem nesse perfil. Para entender o que um proxy SOCKS5 supõe, você pode consultar essa explicação geral: O que é um 'proxy' SOCKS.

Que um único pacote reúna técnicas de engenharia social, downloads criptografados de um C2, um ladrão de informação e um RAT funcional marca a diferença: não é apenas um programa que copia arquivos, mas uma plataforma completa para espionagem e exfiltração. JFrog resume como a combinação de uma interface carregue e um pedido de senha do sistema faz com que mesmo desenvolvedores prudentes possam ser enganados; essa senha permite sortear proteções do sistema e acessar segredos que de outro modo permaneceriam criptografados.

Se você acha que pode ser afetado, as medidas imediatas passam por deixar de confiar em pacotes desconhecidos instalados globalmente e rever a lista de pacotes globais de npm no seu sistema. Uma acção de desinstalação básica para este caso seria executar a ordem de desinstalação global do pacote: "npm uninstall - g @openclaw-ai/openclawai", e verificar processos ativos, agentes de início e arquivos temporários suspeitos. Também é prudente revogar tokens, rodar chaves SSH e credenciais de nuvem, mudar senhas e ativar autenticação de dois fatores nos serviços que o permitam. Para reduzir riscos futuros, evita executar instalações globais a partir de autores não verificados, inspecione o conteúdo do pacote antes de o executar e limita a prática de introduzir a senha do sistema quando não fica claro por que é necessário.

Para quem gere projetos ou infra-estruturas, é essencial tratar a cadeia de fornecimento de software como uma superfície de ataque crítica: usar verificações de integridade, assinar artefatos, aplicar políticas que limitem instalações globais e auditar dependências ajuda a minimizar a probabilidade de um pacote malicioso atingir ambientes de desenvolvimento ou produção. Recursos como a pesquisa de JFrog oferecem indicadores, amostras e detalhes técnicos que permitem a administradores e equipes de segurança identificar e bloquear variantes: GhostClaw — Relatório de JFrog. Também é útil que os desenvolvedores verifiquem regularmente as práticas recomendadas de npm e os guias de segurança mantidos pela comunidade.

O episódio lembra que a segurança no ecossistema de pacotes não é apenas uma questão de repositórios privados ou de grandes empresas: qualquer desenvolvedor que use npm a partir do terminal pode ser alvo se confiar em pacotes com aparência legítima. Manter a precaução, limitar privilégios e atualizar e rotar credenciais de forma proativa são hábitos que, neste caso, marcam a diferença entre uma intrusão contida e uma brecha grave.