openclaw-security-monitor

Proactive security monitoring for OpenClaw deployments. Detects ClawHavoc, AMOS stealer, CVE-2026-25253, memory poisoning, and supply chain attacks.

Атака ClawJacked (26 февраля, Oasis Security) показала, что вредоносные веб-сайты могут подбирать пароли WebSocket на localhost без ограничения частоты запросов.

CVE-2026-28363 (CVSS 9.9) раскрыл критический обход safeBins через сокращения длинных опций GNU.

В общей сложности было отслежено 170 рекомендаций и 500+ CVE в рамках раскрытий проекта и сторонних организаций, включая SSRF, обход exec, обход автоподтверждения ACP, подделку вебхуков, отравление журналов и другое.

Пакет от 19–21 марта (CVE-2026-32013, CVE-2026-32014, CVE-2026-32025, CVE-2026-32042, CVE-2026-32048, CVE-2026-32051, CVE-2026-32055, CVE-2026-32056, CVE-2026-32064) добавил обход через симлинки, побег из песочницы, RCE через переменные окружения оболочки, неаутентифицированный доступ наблюдателя VNC и подмену идентичности/метаданных устройства.

Волна от 16 апреля добавила обход аутентификации отправителя для управления комнатами Matrix (GHSA-2gvc-4f3c-2855), обход local-root для медиафайлов webchat (GHSA-mr34-9552-qr95), устаревшую bearer-аутентификацию через SecretRef в шлюзе (GHSA-xmxx-7p24-h892) и обход редактирования (redaction) в config.get (GHSA-8372-7vhw-cm6q).

Сводки от 21–25 апреля добавили выполнение из cwd через setup-api.js (GHSA-r39h-4c2p-3jxp), повторное воспроизведение route-secret через SecretRef в вебхуках (GHSA-q8ff-7ffm-m3r9), обход защиты мутации конфигурации шлюза (GHSA-cwj3-vqpp-pmxr), переопределения dotenv в коннекторах/рантайме, проблемы контекста владельца/политик инструментов MCP, побеги из FS-моста OpenShell и дополнительное усиление защиты SSRF/медиа.

Сводка за июнь 2026 года добавила утечку заголовков при перенаправлении MCP Streamable HTTP (CVE-2026-53840), влияние dotenv/env рабочей области на команды (CVE-2026-53842, CVE-2026-53846, CVE-2026-53858, CVE-2026-53864), обходы разрешённых списков (allowlist) exec (CVE-2026-53853, CVE-2026-53855, CVE-2026-53861, CVE-2026-53866), перехват PATH сервиса (CVE-2026-53865) и злоупотребление отозванными токенами устройств/областями (scope) (CVE-2026-53843, CVE-2026-53847, CVE-2026-53852).

Unit 42 также задокументировала пять уклоняющихся навыков ClawHub за февраль–май 2026 года, включая приманки через paste-сайты TradingView, дроппер с раздутым README (omnicogg), инъекцию аффилиатов во время выполнения (money-radar) и агентный front-running (letssendit).

135 000+ экземпляров открыты в 82 странах, при этом 12 812 эксплуатируемы через RCE.

Крупные компании в сфере безопасности, включая CrowdStrike, Bitdefender, Palo Alto Networks, Cisco и Kaspersky, выпустили соответствующие рекомендации.

Meta запретила использование OpenClaw на корпоративных устройствах.

Этот проект обеспечивает многоуровневый мониторинг (defense-in-depth) для self-hosted установок OpenClaw. Минимальная безопасная версия: v2026.5.26.

Возможности

• Сканирование безопасности по 41 пункту, охватывающее C2-инфраструктуру, стилеры, реверс-шеллы, эксфильтрацию учётных данных, отравление памяти, инъекции SKILL.md, перехват WebSocket, брутфорс ClawJacked, SSRF, обход safeBins, автоподтверждение ACP, перехват PATH, инъекции переопределения env, усечение deep link, отравление журналов, отравление кэша SHA-1, обход вебхуков Google Chat, CSWSH, отравление MCP-инструментов, обнаружение червя SANDWORM, бэкдор в файле правил, перехват плагинов setup-api.js, автозагрузку плагинов рабочей области, злоупотребление областями (scope) общего доступа, повтор одобрений exec, обход через заполнение файлов, вредоносные шаблоны имён навыков, политики DM/инструментов/песочницы, механизмы персистентности, аудит плагинов, безопасность Docker и другое
• База данных IOC с известными C2-адресами, вредоносными доменами, хешами файлов, чёрными списками издателей и шаблонами имён навыков
• Автообновляемые каналы IOC, получающие последнюю информацию об угрозах из вышестоящих источников
• Манифест bundle-plugin для clawhub package publish --family bundle-plugin
• Веб-дашборд (тёмная тема, ноль зависимостей) со статусом в реальном времени, деревьями процессов, мониторингом сети и историей сканирований
• Ежедневные автоматические сканирования с оповещениями в Telegram
• Отслеживание происхождения процессов через интеграцию с witr

Быстрый старт```bash

Clone into OpenClaw skills directory

git clone https://github.com/adibirzu/openclaw-security-monitor.git
~/.openclaw/workspace/skills/openclaw-security-monitor

cd ~/.openclaw/workspace/skills/openclaw-security-monitor

Make scripts executable

chmod +x scripts/.sh scripts/remediate/.sh

Run a 41-point scan (read-only, no system changes)

./scripts/scan.sh

Preview what remediation would do (dry-run, no changes)

./scripts/remediate.sh --dry-run

Start the web dashboard (read-only, localhost:18800)

node dashboard/server.js

Scan all installed ClawHub skills

./scripts/clawhub-scan.sh

Update IOC database (interactive, asks for confirmation)

./scripts/update-ioc.sh

Необязательная персистентность (вручную, не устанавливается автоматически):```bash

Install daily cron (06:00 UTC) — requires explicit user action

crontab -l | { cat; echo "0 6 * * * $(pwd)/scripts/daily-scan-cron.sh"; } | crontab -

Проверки сканирования (41)

Руководство по устранению

Пошаговая настройка защиты для каждой проверки безопасности, охватывающая macOS и Linux.

Проверка 1: C2-инфраструктура — известные C2-IP в коде навыка

Критичность: КРИТИЧЕСКИЙ

Что это означает: Навык содержит IP-адреса, связанные с известными C2-серверами (например, 91.92.242.30). Это с высокой вероятностью указывает на вредоносность навыка.

Устранение:```bash

Identify the affected skill

grep -rlE "91.92.242|95.92.242|54.91.154.110" ~/.openclaw/workspace/skills/

Remove the malicious skill

openclaw skill remove

Or manually delete it

rm -rf ~/.openclaw/workspace/skills/

Verify removal

grep -rlE "91.92.242" ~/.openclaw/workspace/skills/ # should return empty

Проверка 3: Реверс-шеллы и бэкдоры

Серьёзность: КРИТИЧЕСКАЯ

Что это означает: Навык содержит шаблоны реверс-шеллов (nc -e, /dev/tcp/, socat exec и т. д.) или команды обхода Gatekeeper (xattr -cr).

Устранение:```bash

Remove the skill

openclaw skill remove

Check for active reverse shells (macOS/Linux)

lsof -i -nP | grep -E "ESTABLISHED|SYN_SENT" | grep -vE ":443 |:80 |:53 "

Kill any suspicious connections

kill -9

Re-enable Gatekeeper if bypassed (macOS)

sudo spctl --master-enable sudo defaults write com.apple.LaunchServices LSQuarantine -bool true

Check for quarantine removals (macOS)

xattr -l /Applications/*.app | grep quarantine

Проверка 5: Нацеленность на криптокошельки

Серьёзность: ПРЕДУПРЕЖДЕНИЕ

Что это означает: Навык ссылается на закрытые ключи криптокошельков, seed-фразы или API-ключи бирж.

Исправление:```bash

Remove the skill

openclaw skill remove

Move crypto wallets to hardware wallets (Ledger, Trezor)

Rotate exchange API keys immediately

Restrict filesystem access (macOS)

chmod 700 ~/Library/Application\ Support/Phantom chmod 700 ~/Library/Application\ Support/MetaMask

Check if wallet files were accessed recently

macOS:

mdls -name kMDItemLastUsedDate ~/Library/Application\ Support/Phantom/*

Linux:

stat -c "%x" ~/.config/phantom/*

Проверка 7: Аудит прав доступа к файлам

Серьёзность: ПРЕДУПРЕЖДЕНИЕ

Что это означает: Чувствительные конфигурационные файлы (openclaw.json, auth-profiles.json) доступны для чтения другим пользователям.

Исправление:```bash

Fix permissions (macOS/Linux)

chmod 600 ~/.openclaw/openclaw.json chmod 600 ~/.openclaw/agents/main/agent/auth-profiles.json chmod 600 ~/.openclaw/exec-approvals.json chmod 700 ~/.openclaw

Set default umask in shell profile (add to ~/.bashrc or ~/.zshrc)

echo 'umask 077' >> ~/.zshrc

Проверка 9: внедрение shell-команд в SKILL.md

Серьёзность: ПРЕДУПРЕЖДЕНИЕ

Что это означает: Файл SKILL.md содержит подозрительные инструкции по установке, которые пытаются заставить пользователя или агента выполнить shell-команды (Snyk CVE-2026-22708).

Исправление:```bash

Review the suspicious SKILL.md

cat ~/.openclaw/workspace/skills//SKILL.md | grep -iE "terminal|curl|wget|install|download"

Remove the skill if instructions are clearly malicious

openclaw skill remove

Never run commands from SKILL.md Prerequisites without reviewing them first

Configure agent to not auto-execute installation commands

openclaw config set tools.deny '["exec"]'

Проверка 11: обфускация Base64

Серьёзность: ПРЕДУПРЕЖДЕНИЕ

Что это означает: Навык использует кодирование/декодирование base64, что является распространённой техникой для скрытия вредоносных полезных нагрузок (как видно в кампании ClawHavoc через glot.io).

Исправление:```bash

Review the base64 content

grep -rn "base64" ~/.openclaw/workspace/skills//

Decode and inspect the payload

echo "" | base64 -d

Remove if malicious

openclaw skill remove

Monitor for base64 activity in agent logs

grep -i "base64" ~/.openclaw/logs/*.log

Проверка 13: Конфигурация безопасности шлюза

Серьезность: Критическая

Что это значит: Шлюз OpenClaw привязан к локальной сети (доступен из сети) или на нем отключена аутентификация.

Устранение:```bash

Bind gateway to localhost only

openclaw config set gateway.bind localhost

Enable authentication

openclaw config set gateway.auth.mode token

Or use OIDC (enterprise)

openclaw config set gateway.auth.mode oidc

Verify configuration

openclaw config get gateway.bind openclaw config get gateway.auth.mode

Check what's actually listening

lsof -i :18789 -nP # Should show 127.0.0.1, not 0.0.0.0

Update to latest version to patch CVE-2026-25253

openclaw update

Проверка 15: Обнаружение вредоносного издателя

Серьезность: КРИТИЧЕСКАЯ

Что это значит: Установленный навык ссылается на известного вредоносного издателя ClawHub (hightower6eu, zaycv, Ddoy233 и т. д.).

Устранение:```bash

Remove all skills from the malicious publisher

openclaw skill remove

Check for other skills from the same publisher

grep -rl "" ~/.openclaw/workspace/skills/

Review recently installed skills

ls -lt ~/.openclaw/workspace/skills/ | head -20

Only install skills from verified publishers

Check skill reputation before installing:

https://www.koi.ai (Clawdex reputation checker)

Проверка 17: Аудит политики DM

Серьёзность: ПРЕДУПРЕЖДЕНИЕ

Что это значит: Канал обмена сообщениями имеет dmPolicy=open, что позволяет любому отправлять сообщения вашему агенту — открывая возможности для социальной инженерии и prompt-инъекций из ненадёжных источников.

Устранение:```bash

Set DM policy to restricted for each channel

openclaw config set channels.whatsapp.dmPolicy restricted openclaw config set channels.telegram.dmPolicy restricted openclaw config set channels.discord.dmPolicy restricted

Set explicit allowFrom list

openclaw config set channels.telegram.allowFrom '["your-user-id"]'

Disable unused channels entirely

openclaw config set channels.signal.enabled false

Check 19: Конфигурация песочницы

Серьёзность: WARNING

Что это значит: Песочница отключена, что позволяет навыкам получать полный доступ к файловой системе и сети без ограничений.

Исправление:```bash

Enable sandboxing

openclaw config set sandbox.mode all

Restrict workspace access to read-only where possible

openclaw config set sandbox.workspaceAccess ro

For Docker deployments (recommended for production):

Use gVisor runtime for stronger isolation

docker run --runtime=runsc --read-only
-v ~/.openclaw:/home/openclaw/.openclaw:ro
openclaw/gateway

Проверка 21: Разрешения сеансов и учётных данных

Серьёзность: WARNING

Что это означает: Каталоги учётных данных, файлы сеансов или домашний каталог OpenClaw имеют слишком широкие права доступа.

Исправление:```bash

Fix all permissions at once

chmod 700 ~/.openclaw chmod 700 ~/.openclaw/credentials 2>/dev/null chmod 700 ~/.openclaw/agents//sessions 2>/dev/null find ~/.openclaw/credentials -type f -name ".json" -exec chmod 600 {} ; 2>/dev/null find ~/.openclaw -name "auth-profiles.json" -exec chmod 600 {} ;

Verify

ls -la ~/.openclaw/ ls -la ~/.openclaw/credentials/

Проверка 23: Безопасность плагинов/расширений

Критичность: Критическая

Что это значит: Установленное расширение содержит шаблоны выполнения кода (eval(), exec(), child_process) или ссылки на известные вредоносные домены.

Устранение:```bash

List installed extensions

ls ~/.openclaw/extensions/

Review suspicious extension code

grep -rn "eval|exec|child_process|fetch(" ~/.openclaw/extensions//

Remove the extension

rm -rf ~/.openclaw/extensions/

Disable extension loading if not needed

openclaw config set extensions.enabled false

Only install extensions from verified sources

Check 25: Обход доверия к localhost через обратный прокси

Severity: CRITICAL

Что это значит: Шлюз привязан к LAN без настройки trustedProxies, либо включён dangerouslyDisableDeviceAuth. Внешние злоумышленники могут обойти аутентификацию, представляясь как localhost через обратный прокси-сервер (28% открытых экземпляров имели этот недостаток по данным Penligent).

Исправление:```bash

Configure trusted proxies

openclaw config set gateway.trustedProxies '["192.168.1.1"]'

Never disable device auth

openclaw config set gateway.dangerouslyDisableDeviceAuth false

If using Nginx, ensure X-Forwarded-For is properly set

In nginx.conf:

proxy_set_header X-Real-IP $remote_addr;

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

Verify

openclaw config get gateway.trustedProxies

Проверка 27: Безопасность Docker-контейнеров

Серьёзность: КРИТИЧЕСКАЯ

Что это означает: Docker-контейнеры OpenClaw работают от имени root, с подключённым Docker-сокетом или в привилегированном режиме. CVE-2026-24763 — это инъекция команд в Docker-песочнице.

Исправление:```bash

Run OpenClaw container with hardened settings

docker run -d
--name openclaw
--user 1000:1000
--cap-drop ALL
--no-new-privileges
--read-only
--tmpfs /tmp:noexec,nosuid,size=100m
--memory 512m
--cpus 1.0
--pids-limit 100
-v ~/.openclaw:/home/openclaw/.openclaw:rw
openclaw/gateway

NEVER mount Docker socket

BAD: -v /var/run/docker.sock:/var/run/docker.sock

Use gVisor for stronger isolation

docker run --runtime=runsc ...

Проверка 29: Обнаружение учетных данных в открытом виде

Важность: WARNING

Что означает: Конфигурационные файлы OpenClaw или файлы с учетными данными содержат ключи API в открытом виде (OpenAI sk-, AWS AKIA, GitHub ghp_, Slack xoxb-). Каталог ~/.openclaw является стандартной целью для стилеров.

Устранение:```bash

macOS: Move secrets to Keychain

security add-generic-password -a "$USER" -s "OPENAI_API_KEY" -w ""

Linux: Use pass or secret-tool

pass insert openai/api-key

Or

secret-tool store --label="OPENAI_API_KEY" service openai key api

Use environment variables instead of config files

export OPENAI_API_KEY=$(security find-generic-password -s "OPENAI_API_KEY" -w)

Set up detect-secrets baseline

pip install detect-secrets detect-secrets scan ~/.openclaw/ > .secrets.baseline

Проверка 31: Обнаружение интернет-экспозиции

Серьёзность: ПРЕДУПРЕЖДЕНИЕ

Что это означает: Шлюз прослушивает не-loopback интерфейсы, что потенциально делает его доступным из интернета. Более 21 000 экземпляров OpenClaw было найдено на Shodan без какой-либо аутентификации.

Исправление:```bash

Bind to localhost only

openclaw config set gateway.bind localhost

Verify

lsof -i :18789 -nP | grep LISTEN

Should show 127.0.0.1:18789, NOT *:18789 or 0.0.0.0:18789

Add firewall rules (macOS pf)

echo "block in on ! lo0 proto tcp to any port 18789" | sudo pfctl -ef -

Linux (iptables)

sudo iptables -A INPUT -p tcp --dport 18789 ! -s 127.0.0.1 -j DROP

Change default port (reduce scan surface)

openclaw config set gateway.port 28789

Check 33: ClawJacked WebSocket Brute-Force (Oasis Security)

Серьёзность: КРИТИЧЕСКАЯ

Что это значит: Локальный WebSocket OpenClaw принимает соединения без ограничения частоты запросов, что позволяет проводить атаки перебором на пароль аутентификации из любого локального процесса или вредоносного веб-сайта.

Исправление:```bash

Update to v2026.2.25+ which adds rate limiting

openclaw update

Verify version

openclaw --version # Should be 2026.2.25 or later

Enable strong authentication

openclaw config set gateway.auth.mode token openclaw config set gateway.auth.tokenLength 64

Monitor for brute-force attempts

grep "auth.fail" ~/.openclaw/logs/.log | tail -20

Проверка 35: обход safeBins (CVE-2026-28363, CVSS 9.9)

Уровень опасности: КРИТИЧЕСКИЙ

Что это значит: Список разрешенных safeBins в exec можно обойти с помощью сокращений длинных опций GNU (например, sort --compress-prog=sh выполняет произвольные команды).

Устранение:```bash

Update to v2026.2.13+ which fixes the bypass

openclaw update

Review exec-approvals for overly permissive entries

cat ~/.openclaw/exec-approvals.json | python3 -m json.tool

Use full path binaries in allowlists instead of names

Bad: "sort" -> allows sort --compress-prog=sh

Good: "/usr/bin/sort" with argument restrictions

Check 37: PATH Hijacking (GHSA-jqpq-mgvm-f9r6)

Severity: CRITICAL

What it means: Writable directories in the PATH before system directories allow attackers to plant malicious binaries that intercept OpenClaw exec calls.

Remediation:```bash

Check for writable dirs before system dirs

echo $PATH | tr ':' '\n' | while read d; do [ -w "$d" ] && echo "WRITABLE: $d"; done

Remove writable dirs from PATH (add to ~/.zshrc)

export PATH="/usr/local/bin:/usr/bin:/bin:/usr/sbin:/sbin"

Fix directory permissions

chmod 755 /usr/local/bin chmod 755 ~/.local/bin

Проверка 39: macOS Deep Link Truncation (CVE-2026-26320)

Серьёзность: WARNING

Что это означает: Лимит предварительного просмотра macOS в 240 символов для deep link'ов скрывает от пользователя вредоносные части полезной нагрузки.

Устранение:```bash

Update to v2026.2.10+ for the fix

openclaw update

Disable deep link handling if not needed

defaults write com.openclaw.gateway LSApplicationQueriesSchemes -array

Always inspect full URLs before clicking deep links

Проверка 41: Неаутентифицированный доступ к Browser Relay CDP (CVE-2026-28458)

Серьёзность: КРИТИЧЕСКАЯ

Что это означает: Конечная точка WebSocket /cdp для управления браузером принимает подключения без аутентификации, что позволяет красть сеансы.

Устранение:```bash

Update to v2026.2.12+ for the fix

openclaw update

Disable browser relay if not needed

openclaw config set browser.relay.enabled false

Check for active CDP connections

lsof -i -nP | grep -E "cdp|devtools"

Check 43: Shell Expansion Bypass (CVE-2026-28463)

Серьёзность: КРИТИЧЕСКИЙ

Что это означает: Exec-approvals проверяют команды до подстановки командной оболочки, но выполняют их после подстановки, что позволяет обходить списки разрешений с помощью инъекции glob-шаблонов/переменных.

Исправление:```bash

Update to v2026.2.14+ for the fix

openclaw update

Use strict exec approval patterns (no wildcards)

Review exec-approvals.json for entries containing * or $

grep -E '[*$]' ~/.openclaw/exec-approvals.json

Проверка 45: Обход аутентификации моста браузера песочницы (CVE-2026-28468)

Важность: WARNING

Что это означает: Сервер браузерного моста песочницы принимает запросы без аутентификации шлюза.

Устранение:```bash

Update to v2026.2.14+ for the fix

openclaw update

Disable sandbox browser bridge if not needed

openclaw config set sandbox.browser.bridge false

Проверка 47: Path Traversal в TAR-архиве (CVE-2026-28453)

Серьёзность: КРИТИЧЕСКИЙ

Что это означает: Извлечение TAR-архива не проверяет пути, что позволяет обход каталогов с помощью ../../ для записи файлов за пределы предназначенных каталогов.

Устранение:```bash

Update to v2026.2.14+ for the fix

openclaw update

Check for files written outside expected directories

find ~/.openclaw -name ".tar" -o -name ".tgz" -mtime -7 2>/dev/null

Проверка 49: /agent/act Обход аутентификации (CVE-2026-28485)

Серьёзность: CRITICAL

Что это значит: HTTP-эндпоинт /agent/act для управления браузером не требует аутентификации, что позволяет любому локальному процессу инициировать действия браузера.

Исправление:```bash

Update to v2026.2.12+ for the fix

openclaw update

Disable browser extension if not needed

openclaw config set browser.extension.enabled false

Check for unauthorized access attempts

grep "agent/act" ~/.openclaw/logs/*.log

Проверка 51: Отравление кэша SHA-1 (CVE-2026-28479, CVSS 8.7)

Серьёзность: КРИТИЧЕСКАЯ

Что это означает: SHA-1 используется для ключей кэша песочницы. Коллизионные атаки могут передать кэшированное состояние одной песочницы другой.

Исправление:```bash

Update to v2026.2.15+ for the fix

openclaw update

Disable sandbox caching until upgraded

openclaw config set sandbox.cache.enabled false

Проверка 53: Пропуск идентификации устройства в WebSocket шлюза (CVE-2026-28472)

Серьёзность: КРИТИЧЕСКАЯ

Что это означает: При рукопожатии WebSocket шлюза пропускается проверка идентификации устройства, что предоставляет доступ оператора без проверки устройства.

Устранение:```bash

Update to v2026.3.11+ for the fix

openclaw update

Restrict gateway to localhost until upgraded

openclaw config set gateway.bind localhost

Audit connected devices

openclaw device list

Проверка 55: Раскрытие учётных данных сопряжения устройств (GHSA-7h7g)

Серьёзность: ПРЕДУПРЕЖДЕНИЕ

Что это значит: Коды настройки сопряжения устройств раскрывают долгоживущие учётные данные шлюза вместо кратковременных токенов начальной загрузки.

Устранение:```bash

Update to v2026.3.12+ for the fix

openclaw update

Rotate device credentials after upgrading

openclaw device rotate-credentials

Review paired devices

openclaw device list

Revoke any suspicious device pairings

openclaw device revoke

Проверка 57: Отравление инструментов MCP-сервера (OWASP MCP03/MCP06)

Серьёзность: КРИТИЧЕСКАЯ

Что это значит: Конфигурации MCP-сервера содержат скрытые символы Unicode, паттерны prompt-инъекций или директивы BCC/пересылки, используемые для атак отравления инструментов.

Устранение:```bash

Inspect MCP server configs for hidden content

cat -v ~/.openclaw/mcp-servers/*.json # -v shows invisible chars

Remove or quarantine suspicious configs

mv ~/.openclaw/mcp-servers/suspicious.json{,.quarantined}

Use Cisco MCP Scanner for deeper analysis

https://github.com/cisco-ai-defense/mcp-scanner

Pin MCP server versions to prevent rug-pull updates

Review tool descriptions after every MCP server update

Проверка 59: Бэкдор в файлах правил / Скрытая Unicode-инъекция

Серьёзность: CRITICAL

Что это означает: Файлы правил ИИ-агентов (.cursorrules, CLAUDE.md и т. д.) содержат скрытые Unicode-символы (пробелы нулевой ширины, BiDi-переопределения), которые внедряют невидимые вредоносные инструкции.

Устранение:```bash

Check for hidden Unicode in rules files

cat -v .cursorrules CLAUDE.md .clawrules 2>/dev/null | grep -P '[\x00-\x08\x0B\x0C\x0E-\x1F]'

Strip hidden Unicode characters

perl -pi -e 's/[\x{200B}\x{200C}\x{200D}\x{2060}\x{FEFF}\x{00AD}]//g' .cursorrules perl -pi -e 's/[\x{202A}-\x{202E}\x{2066}-\x{2069}]//g' CLAUDE.md

Verify cleanup

hexdump -C .cursorrules | grep -E '200[bcd]|2060|feff|00ad'

Set restrictive permissions on rules files

chmod 644 .cursorrules CLAUDE.md .clawrules 2>/dev/null

Сценарии исправления для каждой проверки

Каждая из 41 проверки сканирования имеет собственный сценарий исправления в scripts/remediate/. Сценарии автономны, поддерживают --yes и --dry-run и возвращают код выхода 0 (исправлено), 1 (сбой) или 2 (нечего исправлять). Автоматический режим (--yes) требует OPENCLAW_ALLOW_UNATTENDED_REMEDIATE=1.

Сценарии автоисправления изменяют систему (права доступа, настройки конфигурации, /etc/hosts). Сценарии рекомендаций выводят ручные инструкции для деструктивных или внешних действий (удаление навыков, ротация учётных данных, изменения Docker).

Коды выхода

Все действия записываются в ~/.openclaw/logs/remediation.log.

База данных IOC

C2-IP-адреса

Вредоносные домены

Известные хэши файлов (SHA-256)

Чёрный список вредоносных издателей

Паттерны имён навыков

Вредоносные навыки имитируют популярные категории:

• Тайпсквоттинг (29): clawhub, clawhubb, clawwhub, cllawhub, clawhubcli, clawdhub1
• Криптовалюта (111): solana-wallet-*, phantom-wallet-*, bybit-agent, eth-gas-*
• Рынки прогнозов (34): polymarket-*, better-polymarket, polymarket-all-in-one
• YouTube (57): youtube-summarize-*, youtube-*-pro
• Автообновления (28): auto-updat*
• Финансы (51): yahoo-finance, stock-track*
• Google Workspace (17): google-workspace-*, gmail-*, gdrive-*
• Социальные/карьерные приманки (Bloom): reddit-trends, linkedin-job-application, reddit-*, linkedin-*
• Известные вредоносные (конкретные): rankaj, openclawcli

Автообновление IOC

Сценарий update-ioc.sh:

1. Проверяет вышестоящий GitHub-репозиторий на наличие обновлений базы IOC
2. Сканирует активные сетевые подключения на соответствие известным C2-IP-адресам
3. Сверяет установленные навыки с базами вредоносных издателей и паттернов
4. Вычисляет хэши файлов и проверяет их по известным вредоносным хэшам
5. Отклоняет некорректный IOC-контент и блокирует переопределение недоверенных фидов, если это явно не разрешено```bash

Check for updates without applying

./scripts/update-ioc.sh --check-only

Download and apply updates

./scripts/update-ioc.sh

Override IOC source only with explicit trust bypass

OPENCLAW_ALLOW_UNTRUSTED_IOC_SOURCE=1 ./scripts/update-ioc.sh --github-repo https://example.com/ioc

Покрытие CVE

Источники Threat Intelligence

Паттерны обнаружения этого проекта построены на основе опубликованных исследований в области безопасности:

Связанные инструменты безопасности

Другие проекты с открытым исходным кодом для защиты развёртываний OpenClaw:

Чем этот проект отличается: openclaw-security-monitor работает вне агента как независимый мониторинг на уровне хоста — он напрямую сканирует файловую систему, сеть, процессы и конфигурацию шлюза, не полагаясь на собственные инструменты агента или границы доверия. Это обеспечивает эшелонированную защиту, даже если сам агент скомпрометирован.

Установка в качестве навыка OpenClaw

Разверните непосредственно в каталог навыков агента OpenClaw для доступа внутри агента:```bash

From GitHub

git clone https://github.com/adibirzu/openclaw-security-monitor.git
~/.openclaw/workspace/skills/ chmod +x ~/.openclaw/workspace/skills//scripts/*.sh

Replace <skill-dir> with the actual folder name where the skill is installed (commonly openclaw-security-monitor or security-monitor).

Requirements

• macOS или Linux
• bash 4+
• Node.js 22.12+ (для веб-панели; более старые версии помечаются сканером)
• curl (для обновления IOC и проверки WebSocket)
• Необязательно: witr для анализа дерева процессов
• Необязательно: openclaw для аудита конфигурации шлюза

Установка предварительных требований (macOS)```bash

Node.js (required for web dashboard)

brew install node@22

witr - process ancestry tracer (optional but recommended)

brew install witr

Verify

node --version # v22.x witr --version # should print version

Переменные окружения

Участие в разработке

Приветствуются обновления IOC. Чтобы добавить новые индикаторы:

1. Сделайте форк репозитория
2. Добавьте записи в соответствующий файл ioc/*.txt согласно существующему формату
3. Отправьте PR с указанием источника

Лицензия

MIT