OpenClaw Security Monitor

Surveillance de sécurité proactive, analyse des menaces et visibilité en temps réel pour les déploiements d'OpenClaw. Détecte les menaces de la campagne ClawHavoc (824+ compétences malveillantes), du voleur AMOS, de l'infostealer Vidar, du malware proxy GhostSocks, du bruteforçage WebSocket ClawJacked, des attaques de chargement automatique de plugins d'espace de travail, de l'escalade de portée d'authentification partagée, des contournements de relecture d'approbation et d'intégrité, des attaques de la chaîne d'approvisionnement, de l'empoisonnement de la mémoire, de l'empoisonnement des journaux, du détournement de relais de navigateur, du parcours TAR, de la SSRF, de l'empoisonnement du cache SHA-1, de l'empoisonnement des outils MCP, de la propagation du ver SANDWORM, de 170 avis de sécurité et de 500+ CVE.

Pourquoi cela existe

Fin janvier 2026, des chercheurs en sécurité ont découvert que 12 % de toutes les compétences ClawHub étaient malveillantes — 341 sur 2 857 compétences réparties sur plusieurs campagnes. À la mi-février, ce nombre est passé à 824+ compétences malveillantes avec 1 184 paquets malveillants sur 12 comptes d'éditeurs (Antiy CERT). L'étude ToxicSkills de Snyk a révélé que 36 % de toutes les compétences ClawHub contiennent des failles de sécurité (3 984 analysées).

La campagne principale, ClawHavoc, diffusait le voleur Atomic Stealer (AMOS) pour macOS ciblant les portefeuilles crypto, les identifiants SSH et les mots de passe de navigateur. En février, Hudson Rock a découvert des variantes de l'infostealer Vidar ciblant spécifiquement les identités des agents OpenClaw — volant les fichiers openclaw.json, device.json, soul.md et memory.md.

Parallèlement, CVE-2026-25253 a démontré qu'un seul lien malveillant pouvait permettre l'exécution complète de code à distance sur n'importe quelle instance OpenClaw via un détournement WebSocket — même celles liées à localhost. L'attaque ClawJacked (26 février, Oasis Security) a montré que des sites web malveillants peuvent forcer brutalement les mots de passe WebSocket en localhost sans limitation de taux. CVE-2026-28363 (CVSS 9.9) a révélé un contournement critique de safeBins via les abréviations GNU long-option. Au total, 170 avis de sécurité et 500+ CVE ont été suivis dans les divulgations de projets et de tiers, y compris SSRF, contournement exec, contournement d'approbation automatique ACP, falsification de webhook, empoisonnement des journaux, et plus encore. Le lot du 19 au 21 mars (CVE-2026-32013, CVE-2026-32014, CVE-2026-32025, CVE-2026-32042, CVE-2026-32048, CVE-2026-32051, CVE-2026-32055, CVE-2026-32056, CVE-2026-32064) a ajouté le parcours de lien symbolique, l'évasion de sandbox, l'exécution de code à distance via l'environnement shell, l'accès non authentifié à l'observateur VNC, et l'usurpation d'identité et de métadonnées d'appareil. La vague du 16 avril a ajouté le contournement d'authentification de l'expéditeur dans le contrôle de salle Matrix (GHSA-2gvc-4f3c-2855), le contournement de racine locale via les médias de webchat (GHSA-mr34-9552-qr95), l'authentification porteuse obsolète SecretRef de la passerelle (GHSA-xmxx-7p24-h892), et le contournement de rédaction de config.get (GHSA-8372-7vhw-cm6q). Les cumuls du 21 au 25 avril ont ajouté l'exécution dans le répertoire de travail de setup-api.js (GHSA-r39h-4c2p-3jxp), la relecture de secret de route SecretRef du webhook (GHSA-q8ff-7ffm-m3r9), le contournement de la protection de mutation de configuration de la passerelle (GHSA-cwj3-vqpp-pmxr), les remplacements de connecteur/environnement dotenv, les problèmes de contexte propriétaire/politique d'outil MCP, les évasions du pont FS OpenShell, et un renforcement supplémentaire SSRF/média. Le cumul de juin 2026 a ajouté la fuite d'en-tête de redirection HTTP Streamable MCP (CVE-2026-53840), l'influence des commandes dotenv/env de l'espace de travail (CVE-2026-53842, CVE-2026-53846, CVE-2026-53858, CVE-2026-53864), les contournements de la liste d'autorisation exec (CVE-2026-53853, CVE-2026-53855, CVE-2026-53861, CVE-2026-53866), le détournement de PATH du service (CVE-2026-53865), et l'abus de jeton d'appareil révoqué/de portée (CVE-2026-53843, CVE-2026-53847, CVE-2026-53852). Unit 42 a également documenté cinq compétences ClawHub évasives de février à mai 2026, y compris les leurres de site de paste TradingView, un dropper README rembourré surdimensionné (omnicogg), l'injection d'affilié au moment de l'exécution (money-radar), et le front-running agentique (letssendit).

135 000+ instances sont exposées dans 82 pays, dont 12 812 exploitables via RCE. Les grandes sociétés de sécurité, dont CrowdStrike, Bitdefender, Palo Alto Networks, Cisco et Kaspersky, ont émis des avis. Meta a interdit OpenClaw sur les appareils d'entreprise.

Ce projet fournit une surveillance défensive en profondeur pour les installations auto-hébergées d'OpenClaw. Version minimale sûre : v2026.5.26.

Fonctionnalités

• Analyse de sécurité en 41 points couvrant l'infrastructure C2, les voleurs, les shells inversés, l'exfiltration d'identifiants, l'empoisonnement de la mémoire, l'injection SKILL.md, le détournement WebSocket, le bruteforçage ClawJacked, la SSRF, le contournement safeBins, l'approbation automatique ACP, le détournement PATH, l'injection de remplacement d'environnement, la troncature de lien profond, l'empoisonnement des journaux, l'empoisonnement du cache SHA-1, le contournement du webhook Google Chat, la CSWSH, l'empoisonnement des outils MCP, la détection du ver SANDWORM, la porte dérobée de fichiers de règles, les détournements de plugins setup-api.js, le chargement automatique de plugins d'espace de travail, l'abus de portée d'authentification partagée, la relecture d'approbation exec, l'évasion par rembourrage de fichier, les modèles de noms de compétences malveillants, les politiques DM/outil/sandbox, les mécanismes de persistance, l'audit des plugins, la sécurité Docker, et plus encore
• Base de données IOC avec IP C2 connues, domaines malveillants, hachages de fichiers, listes noires d'éditeurs et modèles de noms de compétences
• Flux IOC à mise à jour automatique qui récupèrent les dernières informations sur les menaces en amont
• Manifeste de plugin bundle pour clawhub package publish --family bundle-plugin
• Tableau de bord web (thème sombre, zéro dépendance) avec état en temps réel, arbres de processus, surveillance réseau et historique des analyses
• Analyses automatisées quotidiennes avec alertes Telegram
• Suivi de l'ascendance des processus via l'intégration witr

Démarrage rapide```bash

Clone into OpenClaw skills directory

git clone https://github.com/adibirzu/openclaw-security-monitor.git
~/.openclaw/workspace/skills/openclaw-security-monitor

cd ~/.openclaw/workspace/skills/openclaw-security-monitor

Make scripts executable

chmod +x scripts/.sh scripts/remediate/.sh

Run a 41-point scan (read-only, no system changes)

./scripts/scan.sh

Preview what remediation would do (dry-run, no changes)

./scripts/remediate.sh --dry-run

Start the web dashboard (read-only, localhost:18800)

node dashboard/server.js

Scan all installed ClawHub skills

./scripts/clawhub-scan.sh

Update IOC database (interactive, asks for confirmation)

./scripts/update-ioc.sh

## Plugin Bundle