El malware GhostClaw roba datos de billeteras encriptadas de desarrolladores a través de un paquete npm.

PANews informó el 23 de marzo que, según Cryptopolitan, un nuevo malware llamado GhostClaw está atacando billeteras de Criptomoneda en dispositivos macOS. Este malware, disfrazado como la herramienta legítima OpenClaw CLI, existió en el registro npm durante una semana, infectando a 178 desarrolladores antes de ser eliminado el 10 de marzo. Una vez que un desarrollador ejecuta el comando "npm install", un script oculto instala globalmente el paquete GhostClaw, evadiendo la detección mediante archivos de configuración ofuscados.

GhostClaw escanea el portapapeles cada tres segundos, capturando datos de billeteras de Criptomoneda y transacciones relacionadas, como claves privadas, frases mnemotécnicas y claves públicas. Después de descargar la carga útil en la segunda fase, GhostLoader escanea datos de billeteras de Criptomoneda en el navegador Chromium, macOS Keychain y almacenamiento del sistema, clona sesiones del navegador para obtener acceso a billeteras con sesión iniciada y roba tokens de API conectados a plataformas de IA como OpenAI y Anthropic. Los datos robados se envían a los atacantes a través de Telegram, GoFile y servidores de comando.