Falešný Moltbot AI kódovací asistent

Výzkumníci v oblasti kybernetické bezpečnosti identifikovali na oficiálním Marketplace škodlivé rozšíření Microsoft Visual Studio Code, které se falešně inzerovalo jako bezplatný kódovací asistent s umělou inteligencí pro Moltbot (dříve Clawdbot). Místo poskytování legitimních funkcí toto rozšíření tiše nasadilo škodlivé datové zatížení do napadených systémů.

Rozšíření s názvem „ClawdBot Agent – AI Coding Assistant“ (clawdbot.clawdbot-agent) bylo publikováno 27. ledna 2026 uživatelem se jménem „clawdbot“. Společnost Microsoft jej od té doby odstranila z Marketplace. Útočníci využili rychlého nárůstu popularity Moltbotu k nalákání nic netušících vývojářů k instalaci nástroje, který Moltbot sám oficiálně nenabízí.

Proč byl Moltbot atraktivní návnadou

Moltbot dosáhl na GitHubu překročení 85 000 hvězdiček, a to díky svému slibu lokálně hostovaného osobního asistenta s umělou inteligencí, který bude poháněn rozsáhlými jazykovými modely. Platforma umožňuje interakci prostřednictvím známých služeb, jako jsou WhatsApp, Telegram, Slack, Discord, Signal, iMessage, Microsoft Teams, Google Chat a weboví chatovací klienti.

Často přehlíženým kritickým bodem je, že Moltbot nemá žádné legitimní rozšíření pro VS Code. Útočníci tuto mezeru využili k zavedení falešného pluginu, který byl navržen tak, aby se bezproblémově začlenil do vývojářského ekosystému.

Od spuštění IDE k plnému dálkovému ovládání

Po instalaci se škodlivé rozšíření automaticky spouštělo při každém spuštění VS Code. Z webu clawdbot.getintwopc.site načítalo vzdálený soubor config.json, který rozšíření instruoval ke spuštění binárního souboru s názvem Code.exe. Tento spustitelný soubor nasadil legitimní nástroj pro vzdálený přístup: ConnectWise ScreenConnect.

Nainstalovaný klient ScreenConnect se poté připojil k meeting.bulletmailer.net:8041 a poskytl útočníkům trvalý interaktivní vzdálený přístup k infikovanému počítači.

Taktiky redundantního dodávání a odolnosti

Útočníci provozovali vlastní infrastrukturu přenosu ScreenConnect a distribuovali předkonfigurovaného klienta prostřednictvím rozšíření. Více záložních mechanismů zajišťovalo doručení dat i v případě selhání primárních kanálů velení a řízení.

Mezi ně patřilo:

• Načtení a stažení škodlivé knihovny DLL (DWrite.dll) založené na platformě Rust, na kterou se odkazuje v souboru config.json a která je schopna stáhnout klienta ScreenConnect z Dropboxu.
• Načítání DLL pomocí souboru Code.exe, který by přednostně načetl škodlivou knihovnu, pokud by byla umístěna ve stejném adresáři.
• Pevně zakódované adresy URL v rozšíření odkazující na alternativní umístění pro stahování.

Hlubší analýza naznačuje, že útočníci očekávali provozní selhání, jelikož několik mechanismů bylo nespolehlivých, ale zároveň vícevrstvých pro zajištění trvalosti.

Větší expozice: Nezabezpečené nasazení Moltbotů

Kromě škodlivého rozšíření vědci objevili online stovky neověřených instancí Moltbotu. Ty byly výsledkem klasické chybné konfigurace reverzní proxy, která odhalila konfigurační soubory, klíče API, přihlašovací údaje OAuth a historii soukromých chatů.

Chyba pramenila z automatického schvalování „lokálních“ připojení Moltbotem v kombinaci s nasazením za reverzními proxy. Provoz pocházející z internetu byl mylně považován za důvěryhodný lokální přístup, což umožňovalo neověřenou kontrolu.

Když se agenti umělé inteligence stanou útočnými proxy

Agenti Moltbot mají provozní autonomii. Mohou odesílat zprávy jménem uživatelů, komunikovat napříč hlavními platformami pro zasílání zpráv, spouštět nástroje a příkazy. To představuje vážná rizika, pokud k nim získáte neoprávněný přístup.

• Kompromitovaní agenti mohou být zneužiti k:
• Vydávání se za operátora a vkládání zpráv do soukromých konverzací
• Manipulace s výstupy a pracovními postupy agentů
• Neviditelně odhalte citlivá data
• Distribuovat škodlivé nebo backdoorované „dovednosti“ prostřednictvím MoltHubu (dříve ClawdHub), což umožňuje útoky ve stylu dodavatelského řetězce.

Rozšířené chybné konfigurace již vytvořily podmínky vhodné pro únik přihlašovacích údajů, zneužití prompt-injection a scénáře kompromitace napříč cloudy.

Architektonický slabý bod

Jádrem problému je architektonická filozofie Moltbotu. Platforma upřednostňuje bezproblémové nasazení před zvýšenými výchozími nastaveními. Uživatelé mohou rychle integrovat citlivé podnikové služby bez vynuceného firewallu, ověřování přihlašovacích údajů nebo sandboxu pluginů.

Bezpečnostní odborníci varují, že Moltbotův hluboký přístup k podnikovým systémům, často z nespravovaných osobních zařízení mimo tradiční bezpečnostní perimetry, vytváří při nesprávné konfiguraci vysoce rizikové kontrolní body. Absence sandboxu a ukládání dlouhodobé paměti a přihlašovacích údajů v prostém textu činí z Moltbotu obzvláště atraktivní cíl.

Pokud útočník naruší hostitelský počítač, pokročilé techniky nejsou nutné. Moderní infostealers běžně shromažďují známé adresáře a vyhledávají tokeny, klíče API, protokoly a konfigurační data vývojářů. Pokud jsou tato aktiva uložena nešifrovaná, lze je během několika sekund odcizit.

Výzkumníci již pozorovali, že rodiny malwaru jako služby, jako jsou RedLine, Lumma a Vidar, se specificky přizpůsobují cílení na adresářové struktury související s Moltbotem.

Od krádeže dat k narušení kognitivních funkcí

Pro operátory infostealerů představují data Moltbotu více než jen přihlašovací údaje. Umožňují to, co vědci popisují jako „krádež kognitivního kontextu“. Přístup k historii konverzací, systémovým výzvám a dlouhodobé paměti umožňuje útočníkům pochopit nejen systémy, ale i operační záměr.

Pokud útočníci získají i přístup pro zápis, například prostřednictvím trojského koně pro vzdálený přístup nasazeného společně s únoscem, mohou eskalovat k únosu agenta a otravování paměti, čímž v průběhu času nenápadně manipulují s chováním, výstupy a vztahy důvěryhodnosti.

Okamžitá opatření ke zmírnění rizik

Organizacím a jednotlivcům provozujícím Moltbot s výchozím nastavením se důrazně doporučuje, aby okamžitě podnikli obranné kroky:

• Auditujte všechny konfigurace a vystavené služby.
• Zrušte a otočte všechny připojené integrace a přihlašovací údaje.
• Prověřte systémy, zda neobsahují známky kompromitace.
• Vynucujte řízení přístupu a monitorování na úrovni sítě.

Bez rozhodných nápravných opatření zůstávají prostředí Moltbotů vysoce náchylná k tichému převzetí, odčerpávání dat a útokům na dodavatelský řetězec.