El malware GhostClaw roba los datos cifrados de los monederos de los desarrolladores a través de paquetes de npm

Según Cryptopolitan, un nuevo tipo de malware llamado GhostClaw está atacando carteras de criptomonedas en dispositivos macOS.

Este malware se hacía pasar por una herramienta legítima de OpenClaw para la línea de comandos y estuvo presente en el registro de npm durante una semana antes de ser eliminado, tras haber infectado a 178 desarrolladores. Una vez que los desarrolladores ejecutan el comando «npm install», un script oculto instala el paquete GhostClaw a nivel global y elude la detección mediante archivos de configuración ofuscados. GhostClaw analiza el portapapeles cada tres segundos y captura claves privadas, frases de recuperación, claves públicas y otros datos relacionados con carteras de criptomonedas y transacciones.

Una vez descargada la carga útil de la segunda fase, GhostLoader busca datos de carteras de criptomonedas en el navegador Chromium, en el llavero de macOS y en el almacenamiento del sistema; clona las sesiones del navegador para acceder a las carteras en las que se ha iniciado sesión; y roba los tokens de API que se conectan a plataformas de IA como OpenAI y Anthropic. Los datos robados se envían a los atacantes a través de Telegram, GoFile y servidores de comandos.