Im Juni 2026 lief über ClawHub, den offiziellen Skill-Marktplatz von OpenClaw, nach Erkenntnissen von Palo Alto Networks Unit 42 die Verbreitung von fünf schädlichen Erweiterungen. Die Pakete waren gezielt auf Entwickler und technisch versierte Nutzer zugeschnitten. Zwei von ihnen luden unter macOS den bekannten Infostealer AMOS nach, andere sollten Provisionen abschöpfen oder Finanztransaktionen im Interesse der Angreifer beeinflussen.
Besonders brisant waren nach Angaben von Unit 42 zwei Skills, die AMOS auf macOS nachinstallierten. Andere Erweiterungen zielten darauf, Provisionen abzugreifen oder Finanztransaktionen in eine für die Täter günstige Richtung zu lenken. Der Fall macht ziemlich deutlich, welches Risiko solche Marktplätze in der Software-Lieferkette mitbringen.
OpenClaw-Skills greifen tief ins System ein
OpenClaw ist seit November 2025 verfügbar und lässt sich mit Skills um zusätzliche Funktionen erweitern. Über diese Module können Nutzer etwa im Web surfen, Dateien verwalten oder direkt Aktionen auf dem System ausführen.
Genau da liegt der kritische Punkt. Wenn ein schädlicher Skill im selben Prozess läuft, kann er auf sensible Daten zugreifen und unerlaubte Aktionen auf dem System ausführen.
Palo Alto Networks Unit 42 beschreibt die entdeckten Pakete als hartnäckig und klar darauf ausgelegt, Prüfmechanismen auszutricksen. Ein Beispiel dafür ist eine massiv aufgeblähte README-Datei, die mit nutzlosen Daten vollgestopft war.
Laut Unit 42 umging das Paket damit die Verarbeitungsgrenzen automatisierter Scanner und konnte so sowohl VirusTotal als auch ClawScan umgehen.
Zwei Skills installierten AMOS unter macOS
Insgesamt stießen die Forscher von Palo Alto Networks Unit 42 auf fünf problematische Erweiterungen. Zwei davon installierten AMOS für macOS, einen Datendieb, der Zugangsdaten, Wallet-Informationen, Browserdaten und weitere sensible Systeminformationen abzieht.
Die übrigen Funde gingen nach Einschätzung von Unit 42 über klassischen Datendiebstahl hinaus. Dazu gehörten Skills für Provisionsbetrug, etwa über eingeschleuste Affiliate-Links, ebenso wie Pakete, die kryptobezogene Aktionen von OpenClaw im Namen des Nutzers beeinflussen sollten. Das Risiko verschiebt sich damit in Richtung direkter finanzieller Manipulation.
Frühere Warnungen bestätigten das Problem
Bitdefender Labs hatte schon Anfang Februar 2026 darauf hingewiesen, dass rund 17 Prozent der untersuchten OpenClaw-Skills bösartiges Verhalten zeigten. Viele gaben sich als nützliche Werkzeuge aus, vor allem im Kryptobereich, und luden über versteckte Befehle weitere Schadsoftware wie AMOS nach.
Darauf reagierte OpenClaw mit zusätzlichen Kontrollen wie VirusTotal und ClawScan. Die jetzt von Palo Alto Networks Unit 42 entdeckten Pakete zeigen aber, dass solche Schutzmaßnahmen allein nicht reichen, wenn Angreifer ihre Dateien gezielt auf Scanner und Prüfprozesse zuschneiden.
Fünf Pakete entfernt, Grundproblem bleibt
Seit der Offenlegung durch Palo Alto Networks Unit 42 sind die fünf gemeldeten Skills nicht mehr über ClawHub erreichbar. OpenClaw hat die Pakete entfernt und die dazugehörigen Konten gesperrt.
Palo Alto Networks Unit 42 empfiehlt Unternehmen deutlich strengere Prüfungen. Dazu zählen die Verifikation der Herausgeber, eine saubere Nachvollziehbarkeit der Herkunft und im Idealfall eine zeilenweise Code-Prüfung aller eingesetzten Pakete. Fachleute warnen außerdem davor, dass der Einsatz solcher Drittanbieter-Tools durch Mitarbeitende schnell zu einer neuen Form von Shadow-IT werden kann.
Downloads: Download OpenClaw
