Assistent de codificació d'IA fals Moltbot

Investigadors de ciberseguretat han identificat una extensió maliciosa de Microsoft Visual Studio Code al Marketplace oficial que s'anunciava falsament com un assistent de codificació gratuït basat en intel·ligència artificial per a Moltbot (anteriorment Clawbot). En lloc d'oferir una funcionalitat legítima, l'extensió va implementar silenciosament una càrrega útil nociva en sistemes compromesos.

L'extensió, titulada "ClawdBot Agent – AI Coding Assistant" (clawdbot.clawdbot-agent), va ser publicada el 27 de gener de 2026 per un usuari anomenat "clawdbot". Des de llavors, Microsoft l'ha eliminat del Marketplace. Els actors amenaçadors van aprofitar el ràpid augment de popularitat de Moltbot per atraure desenvolupadors desprevinguts a instal·lar una eina que Moltbot no ofereix oficialment.

Per què Moltbot era un esquer atractiu

Moltbot ha superat les 85.000 estrelles a GitHub, impulsat per la seva promesa d'un assistent personal d'IA allotjat localment i impulsat per grans models lingüístics. La plataforma permet la interacció a través de serveis familiars com WhatsApp, Telegram, Slack, Discord, Signal, iMessage, Microsoft Teams, Google Chat i clients de xat basats en web.

Un punt crític que sovint es passa per alt és que Moltbot no té cap extensió VS Code legítima. Els atacants van explotar aquesta bretxa introduint un complement fals dissenyat per integrar-se perfectament en l'ecosistema dels desenvolupadors.

Des del llançament de l'IDE fins al control remot complet

Un cop instal·lada, l'extensió maliciosa s'executava automàticament cada vegada que s'iniciava VS Code. Recuperava un fitxer config.json remot de clawdbot.getintwopc.site, que indicava a l'extensió que executés un binari anomenat Code.exe. Aquest executable implementava una eina d'accés remot legítima: ConnectWise ScreenConnect.

El client ScreenConnect instal·lat es va connectar a meeting.bulletmailer.net:8041, proporcionant als atacants accés remot persistent i interactiu a la màquina infectada.

Lliurament redundant i tàctiques de resiliència

Els atacants operaven la seva pròpia infraestructura de retransmissió ScreenConnect, distribuint un client preconfigurat a través de l'extensió. Múltiples mecanismes de reserva asseguraven el lliurament de la càrrega útil fins i tot si fallaven els canals de comandament i control principals.

Aquests incloïen:

• Recuperació i càrrega lateral d'una DLL maliciosa basada en Rust (DWrite.dll) a la qual es fa referència a config.json, capaç de descarregar el client ScreenConnect des de Dropbox.
• Càrrega lateral de DLL a través de Code.exe, que carregaria preferentment la biblioteca maliciosa quan es col·loqués al mateix directori.
• URL codificades de manera fixa dins de l'extensió que apunten a ubicacions de descàrrega alternatives.

Una anàlisi més profunda indica que els atacants preveien errors operatius, ja que diversos mecanismes no eren fiables però estaven estructurats en capes per a la persistència.

La major exposició: desplegaments insegurs de Moltbot

A més de l'extensió maliciosa, els investigadors van descobrir centenars d'instàncies de Moltbot no autenticades en línia. Aquestes eren el resultat d'una configuració incorrecta clàssica del proxy invers que exposava fitxers de configuració, claus API, credencials OAuth i historials de xat privats.

La falla provenia de l'aprovació automàtica de Moltbot de connexions "locals" combinada amb desplegaments darrere de proxies inversos. El trànsit originat per Internet es tractava erròniament com a accés local de confiança, cosa que permetia un control no autenticat.

Quan els agents d'IA es converteixen en intermediaris d'atac

Els agents Moltbot tenen autonomia operativa. Poden enviar missatges en nom dels usuaris, interactuar a través de les principals plataformes de missatgeria, executar eines i executar ordres. Això introdueix riscos greus si s'obté accés no autoritzat.

• Els agents compromesos poden ser utilitzats de manera abusiva per:
• Suplantar operadors i inserir missatges en converses privades
• Manipular les sortides i els fluxos de treball dels agents
• Exfiltrar dades sensibles de manera invisible
• Distribuir "habilitats" malicioses o amb porta enrere a través de MoltHub (anteriorment ClawdHub), permetent atacs d'estil cadena de subministrament.

Les configuracions errònies generalitzades ja han creat condicions propicies per a la fuga de credencials, l'abús de la injecció ràpida i escenaris de compromís entre núvols.

Un punt feble arquitectònic

Al centre del problema hi ha la filosofia arquitectònica de Moltbot. La plataforma prioritza la implementació sense friccions per sobre dels valors per defecte reforçats. Els usuaris poden integrar ràpidament serveis empresarials sensibles sense tallafocs forçats, validació de credencials o sandboxing de complements.

Els professionals de la seguretat alerten que l'accés profund de Moltbot als sistemes empresarials, sovint des de dispositius personals no gestionats fora dels perímetres de seguretat tradicionals, crea punts de control d'alt impacte quan es configuren malament. L'absència de sandboxing i l'emmagatzematge de memòria a llarg termini i credencials en text sense format fan de Moltbot un objectiu especialment atractiu.

Si un atacant compromet la màquina amfitriona, les tècniques avançades són innecessàries. Els lladres d'informació moderns recol·lecten rutinàriament directoris coneguts per obtenir tokens, claus API, registres i dades de configuració del desenvolupador. Quan aquests actius s'emmagatzemen sense xifrar, es poden exfiltrar en qüestió de segons.

Els investigadors ja han observat famílies de programari maliciós com a servei, com ara RedLine, Lumma i Vidar, que s'adapten específicament a les estructures de directoris relacionades amb Moltbot.

Del robatori de dades al compromís cognitiu

Per als operadors de lladres d'informació, les dades de Moltbot representen més que credencials. Permeten el que els investigadors descriuen com a "robatori de context cognitiu". L'accés a l'historial de converses, les indicacions del sistema i la memòria a llarg termini permet als adversaris entendre no només els sistemes, sinó també la intenció operativa.

Si els atacants també obtenen accés d'escriptura, com ara a través d'un troià d'accés remot desplegat juntament amb un lladre de programari, poden derivar en segrest d'agents i enverinament de memòria, manipulant subtilment el comportament, les sortides i les relacions de confiança al llarg del temps.

Mesures de mitigació de riscos immediats

Es recomana fermament a les organitzacions i persones que utilitzen Moltbot amb la configuració predeterminada que prenguin mesures defensives immediates:

• Audita totes les configuracions i els serveis exposats.
• Revoca i rota totes les integracions i credencials connectades.
• Reviseu els sistemes per detectar signes de compromís.
• Aplicar controls d'accés i monitorització a nivell de xarxa.

Sense una remediació decisiva, els entorns Moltbot continuen sent altament susceptibles a la presa de control silenciosa, el sifó de dades i els atacs a la cadena de subministrament aigües avall.