OpenClaw Security Monitor

Monitoreo proactivo de seguridad, escaneo de amenazas y visibilidad en tiempo real para implementaciones de OpenClaw. Detecta amenazas de la campaña ClawHavoc (más de 824 habilidades maliciosas), stealer AMOS, infostealer Vidar, proxy malicioso GhostSocks, fuerza bruta WebSocket ClawJacked, ataques de carga automática de plugins de workspace, escalación de alcance de autenticación compartida, bypass de integridad/reproducción de aprobaciones, ataques a la cadena de suministro, envenenamiento de memoria, envenenamiento de registros, secuestro de relay del navegador, traversal TAR, SSRF, envenenamiento de caché SHA-1, envenenamiento de herramientas MCP, propagación del gusano SANDWORM, 170 avisos y más de 500 CVEs.

Por Qué Existe

A finales de enero de 2026, investigadores de seguridad encontraron que el 12% de todas las habilidades de ClawHub eran maliciosas — 341 de 2857 habilidades en múltiples campañas. A mediados de febrero, esto se expandió a más de 824 habilidades maliciosas con 1184 paquetes maliciosos en 12 cuentas de editores (Antiy CERT). El estudio ToxicSkills de Snyk encontró que el 36% de todas las habilidades de ClawHub contienen fallos de seguridad (3984 escaneadas).

La campaña principal, ClawHavoc, entregó el Atomic Stealer (AMOS) infostealer de macOS dirigido a billeteras de criptomonedas, credenciales SSH y contraseñas de navegador. En febrero, Hudson Rock descubrió variantes del infostealer Vidar específicamente dirigidas a las identidades de agentes de OpenClaw — robando archivos openclaw.json, device.json, soul.md y memory.md.

Mientras tanto, CVE-2026-25253 demostró que un solo enlace malicioso podía lograr ejecución remota de código completa en cualquier instancia de OpenClaw a través del secuestro de WebSocket, incluso aquellas vinculadas a localhost. El ataque ClawJacked (26 de febrero, Oasis Security) mostró que sitios web maliciosos pueden hacer fuerza bruta en contraseñas de WebSocket de localhost sin limitación de tasa. CVE-2026-28363 (CVSS 9.9) reveló un bypass crítico de safeBins mediante abreviaturas de opciones largas de GNU. En total, se han rastreado 170 avisos y más de 500 CVEs en divulgaciones del proyecto y de terceros, incluyendo SSRF, bypass de exec, bypass de aprobación automática de ACP, falsificación de webhooks, envenenamiento de registros y más. El lote del 19 al 21 de marzo (CVE-2026-32013, CVE-2026-32014, CVE-2026-32025, CVE-2026-32042, CVE-2026-32048, CVE-2026-32051, CVE-2026-32055, CVE-2026-32056, CVE-2026-32064) añadió traversal de enlaces simbólicos, escape de sandbox, RCE del entorno de shell, acceso de observador VNC no autenticado y suplantación de identidad/metadatos del dispositivo. La oleada del 16 de abril añadió bypass de autenticación de remitente en control de sala Matrix (GHSA-2gvc-4f3c-2855), bypass de raíz local en medios webchat (GHSA-mr34-9552-qr95), autenticación portadora obsoleta de SecretRef en gateway (GHSA-xmxx-7p24-h892) y bypass de redacción en config.get (GHSA-8372-7vhw-cm6q). Los paquetes del 21 al 25 de abril añadieron ejecución de cwd en setup-api.js (GHSA-r39h-4c2p-3jxp), reproducción de secreto de ruta en webhook SecretRef (GHSA-q8ff-7ffm-m3r9), bypass de guardia de mutación de configuración de gateway (GHSA-cwj3-vqpp-pmxr), anulaciones de conector/tiempo de ejecución de dotenv, problemas de contexto de propietario/política de herramientas en MCP, escapes del puente FS de OpenShell y fortalecimiento adicional de SSRF/medios. El paquete de junio de 2026 añadió filtración de encabezados de redirección HTTP Streamable en MCP (CVE-2026-53840), influencia de comandos dotenv/env en workspace (CVE-2026-53842, CVE-2026-53846, CVE-2026-53858, CVE-2026-53864), bypasses de lista blanca de exec (CVE-2026-53853, CVE-2026-53855, CVE-2026-53861, CVE-2026-53866), secuestro de PATH de servicio (CVE-2026-53865) y abuso de token/alcance de dispositivo revocado (CVE-2026-53843, CVE-2026-53847, CVE-2026-53852). Unit 42 también documentó cinco habilidades evasivas de ClawHub de febrero a mayo de 2026, incluyendo señuelos de sitios de paste en TradingView, un dropper de README relleno de gran tamaño (omnicogg), inyección de afiliados en tiempo de ejecución (money-radar) y anticipación agéntica (letssendit).

Más de 135,000 instancias están expuestas en 82 países, con 12,812 explotables mediante RCE. Grandes empresas de seguridad como CrowdStrike, Bitdefender, Palo Alto Networks, Cisco y Kaspersky han emitido avisos. Meta ha prohibido OpenClaw en dispositivos corporativos.

Este proyecto proporciona monitoreo de defensa en profundidad para instalaciones autogestionadas de OpenClaw. Versión mínima segura: v2026.5.26.

Características

• Escaneo de seguridad de 41 puntos que cubre infraestructura C2, stealers, shells inversos, exfiltración de credenciales, envenenamiento de memoria, inyección de SKILL.md, secuestro de WebSocket, fuerza bruta ClawJacked, SSRF, bypass de safeBins, aprobación automática de ACP, secuestro de PATH, inyección de anulación de env, truncamiento de enlaces profundos, envenenamiento de registros, envenenamiento de caché SHA-1, bypass de webhook de Google Chat, CSWSH, envenenamiento de herramientas MCP, detección de gusano SANDWORM, puerta trasera de archivos de reglas, secuestros de plugins de setup-api.js, carga automática de plugins de workspace, abuso de alcance de autenticación compartida, reproducción de aprobación de exec, evasión de relleno de archivos, patrones de nombres de habilidades maliciosos, políticas de DM/herramientas/sandbox, mecanismos de persistencia, auditoría de plugins, seguridad de Docker y más
• Base de datos de IOCs con IPs C2 conocidas, dominios maliciosos, hashes de archivos, listas negras de editores y patrones de nombres de habilidades
• Fuentes de IOC de actualización automática que obtienen la última inteligencia de amenazas desde upstream
• Manifiesto de bundle-plugin para clawhub package publish --family bundle-plugin
• Panel web (tema oscuro, cero dependencias) con estado en tiempo real, árboles de procesos, monitoreo de red e historial de escaneos
• Escaneos automatizados diarios con alertas de Telegram
• Seguimiento de ancestros de procesos mediante integración con witr

Inicio Rápido```bash

Clone into OpenClaw skills directory

git clone https://github.com/adibirzu/openclaw-security-monitor.git
~/.openclaw/workspace/skills/openclaw-security-monitor

cd ~/.openclaw/workspace/skills/openclaw-security-monitor

Make scripts executable

chmod +x scripts/.sh scripts/remediate/.sh

Run a 41-point scan (read-only, no system changes)

./scripts/scan.sh

Preview what remediation would do (dry-run, no changes)

./scripts/remediate.sh --dry-run

Start the web dashboard (read-only, localhost:18800)

node dashboard/server.js

Scan all installed ClawHub skills

./scripts/clawhub-scan.sh

Update IOC database (interactive, asks for confirmation)

./scripts/update-ioc.sh

## Plugin de paquete