Faux package OpenClaw AI propage un malware RAT sur npm
Des chercheurs en sécurité ont découvert un package npm malveillant le 9 mars 2026, qui usurpe le logiciel OpenClaw AI pour distribuer des chevaux de Troie d'accès à distance. Le package "@openclaw-ai/openclawai" a été téléchargé par l'utilisateur "openclaw-ai" le 3 mars 2026 et a accumulé 178 téléchargements en six jours.
Le package malveillant cible les développeurs recherchant des outils OpenClaw AI en utilisant un nom trompeur qui ressemble de près à un logiciel AI légitime. Une fois installé, le package exécute du code qui déploie un malware RAT conçu pour établir un accès à distance persistant aux machines des développeurs compromis.
Systèmes et données des développeurs en danger
L'attaque affecte principalement les développeurs Node.js qui ont installé le package frauduleux en recherchant des outils de développement OpenClaw AI. Les systèmes compromis par ce RAT sont exposés à des risques de vol de données, y compris le code source, les identifiants et les informations sensibles des projets stockées sur les postes de travail des développeurs.
Les 178 téléchargements confirmés représentent des installations individuelles qui ont pu se produire au sein des équipes de développement, élargissant potentiellement la portée de l'attaque au-delà du nombre initial de téléchargements. Chaque système infecté devient un point d'entrée potentiel pour une compromission plus large du réseau.
Le package reste actif malgré la découverte
Le package malveillant continue d'être disponible sur le registre npm malgré la divulgation par les chercheurs, créant un risque continu pour les développeurs non avertis. Les organisations doivent immédiatement auditer leurs dépendances npm et supprimer toute installation de @openclaw-ai/openclawai des environnements de développement.
Les équipes de sécurité doivent surveiller les indicateurs d'activité RAT sur les systèmes où ce package a été installé, y compris les connexions réseau inhabituelles et l'accès non autorisé aux fichiers. Le catalogue des vulnérabilités exploitées connues de la CISA fournit des conseils supplémentaires sur la détection et la réponse à des attaques similaires de la chaîne d'approvisionnement ciblant l'infrastructure de développement.
