Falsk Moltbot AI-kodingsassistent

Forskere innen nettsikkerhet har identifisert en ondsinnet Microsoft Visual Studio Code-utvidelse på den offisielle markedsplassen som feilaktig annonserte seg selv som en gratis AI-drevet kodeassistent for Moltbot (tidligere Clawdbot). I stedet for å levere legitim funksjonalitet, distribuerte utvidelsen i stillhet en skadelig nyttelast på kompromitterte systemer.

Utvidelsen, med tittelen «ClawdBot Agent – AI Coding Assistant» (clawdbot.clawdbot-agent), ble publisert 27. januar 2026 av en bruker ved navn «clawdbot». Microsoft har siden fjernet den fra Marketplace. Trusselaktører utnyttet Moltbots raske økning i popularitet til å lokke intetanende utviklere til å installere et verktøy som Moltbot selv ikke offisielt tilbyr.

Hvorfor Moltbot var et attraktivt agn

Moltbot har passert 85 000 stjerner på GitHub, drevet av løftet om en lokalt driftet personlig AI-assistent drevet av store språkmodeller. Plattformen muliggjør samhandling gjennom kjente tjenester som WhatsApp, Telegram, Slack, Discord, Signal, iMessage, Microsoft Teams, Google Chat og nettbaserte chatklienter.

Et kritisk poeng som ofte overses er at Moltbot ikke har noen legitim VS Code-utvidelse. Angripere utnyttet dette gapet ved å introdusere en forfalsket plugin som er designet for å integreres sømløst i utviklernes økosystem.

Fra IDE-lansering til full fjernkontroll

Etter installasjonen ble den skadelige utvidelsen kjørt automatisk hver gang VS Code ble startet. Den hentet en ekstern config.json-fil fra clawdbot.getintwopc.site, som instruerte utvidelsen til å kjøre en binærfil kalt Code.exe. Denne kjørbare filen distribuerte et legitimt verktøy for ekstern tilgang: ConnectWise ScreenConnect.

Den installerte ScreenConnect-klienten koblet seg deretter til meeting.bulletmailer.net:8041, noe som ga angriperne vedvarende, interaktiv ekstern tilgang til den infiserte maskinen.

Redundant levering og robusthetstaktikker

Angriperne drev sin egen ScreenConnect-reléinfrastruktur, og distribuerte en forhåndskonfigurert klient gjennom utvidelsen. Flere reservemekanismer sikret levering av nyttelast selv om primære kommando- og kontrollkanaler sviktet.

Disse inkluderte:

• Henting og sidelasting av en Rust-basert ondsinnet DLL (DWrite.dll) referert til i config.json, som er i stand til å laste ned ScreenConnect-klienten fra Dropbox.
• DLL-sidelasting via Code.exe, som fortrinnsvis laster inn det skadelige biblioteket når det plasseres i samme katalog.
• Hardkodede URL-er i utvidelsen som peker til alternative nedlastingssteder.

• En batch-script-basert sikkerhetskopieringsmetode som henter nyttelaster fra darkgptprivate.com.

Dypere analyse indikerer at angriperne forutså operasjonelle feil, ettersom flere mekanismer var upålitelige, men likevel lagdelte for å være vedvarende.

Den større eksponeringen: Usikre Moltbot-distribusjoner

Utover den ondsinnede utvidelsen oppdaget forskere hundrevis av uautoriserte Moltbot-forekomster på nettet. Disse var resultatet av en klassisk feilkonfigurasjon av reverse proxy som avslørte konfigurasjonsfiler, API-nøkler, OAuth-legitimasjon og private chathistorikker.

Feilen stammet fra Moltbots automatiske godkjenning av «lokale» tilkoblinger kombinert med distribusjoner bak omvendte proxyer. Internett-opprinnelig trafikk ble feilaktig behandlet som klarert lokal tilgang, noe som muliggjorde uautorisert kontroll.

Når AI-agenter blir angrepsfullmektiger

Moltbot-agenter har operativ autonomi. De kan sende meldinger på vegne av brukere, samhandle på tvers av store meldingsplattformer, utføre verktøy og kjøre kommandoer. Dette introduserer alvorlige risikoer hvis uautorisert tilgang oppnås.

• Kompromitterte agenter kan misbrukes til å:
• Utgi deg for å være operatører og legg inn meldinger i private samtaler
• Manipulere agentutdata og arbeidsflyter
• Eksfiltrer sensitive data usynlig
• Distribuer ondsinnede eller bakdørsbaserte «ferdigheter» gjennom MoltHub (tidligere ClawdHub), noe som muliggjør angrep i forsyningskjedestil

Utbredte feilkonfigurasjoner har allerede skapt forhold som er modne for lekkasje av påloggingsinformasjon, misbruk av rask injeksjon og kompromitteringsscenarioer på tvers av skyen.

Et arkitektonisk svakt punkt

Kjernen i problemet ligger Moltbots arkitekturfilosofi. Plattformen prioriterer friksjonsfri distribusjon fremfor herdede standardinnstillinger. Brukere kan raskt integrere sensitive bedriftstjenester uten tvungen brannmur, legitimasjonsvalidering eller plugin-sandboxing.

Sikkerhetseksperter advarer om at Moltbots dype tilgang til bedriftssystemer, ofte fra uadministrerte personlige enheter utenfor tradisjonelle sikkerhetsperimetre, skaper kontrollpunkter med stor innvirkning når de er feilkonfigurert. Fraværet av sandkassefunksjoner og lagring av langtidsminne og legitimasjon i klartekst gjør Moltbot til et spesielt attraktivt mål.

Hvis en angriper kompromitterer vertsmaskinen, er avanserte teknikker unødvendige. Moderne infotyvere høster rutinemessig kjente kataloger for tokener, API-nøkler, logger og utviklerkonfigurasjonsdata. Når disse ressursene lagres ukryptert, kan de bli eksfiltrert i løpet av sekunder.

Forskere har allerede observert skadevare-som-en-tjeneste-familier som RedLine, Lumma og Vidar som tilpasser seg spesifikt for å målrette Moltbot-relaterte katalogstrukturer.

Fra datatyveri til kognitiv kompromiss

For informasjonstyvere representerer Moltbot-data mer enn bare legitimasjon. Det muliggjør det forskere beskriver som «kognitiv konteksttyveri». Tilgang til samtalehistorikk, systemmeldinger og langtidshukommelse lar motstandere forstå ikke bare systemer, men også operative intensjoner.

Hvis angripere også får skrivetilgang, for eksempel gjennom en trojaner for ekstern tilgang som er distribuert sammen med en stjeler, kan de eskalere til agentkapring og minneforgiftning, og subtilt manipulere atferd, utdata og tillitsforhold over tid.

Umiddelbare risikoreduserende tiltak

Organisasjoner og enkeltpersoner som bruker Moltbot med standardinnstillinger anbefales på det sterkeste å iverksette umiddelbare defensive tiltak:

• Revider alle konfigurasjoner og eksponerte tjenester.
• Tilbakekall og roter alle tilkoblede integrasjoner og legitimasjonsopplysninger.
• Gjennomgå systemer for tegn på kompromiss.
• Håndhev tilgangskontroller og overvåking på nettverksnivå.

Uten avgjørende utbedring er Moltbot-miljøer fortsatt svært utsatt for stille overtakelse, datainndrivelse og angrep i nedstrøms forsyningskjeden.