Falošný Moltbot AI kódovací asistent

Výskumníci v oblasti kybernetickej bezpečnosti identifikovali na oficiálnom Marketplace škodlivé rozšírenie Microsoft Visual Studio Code, ktoré sa falošne inzerovalo ako bezplatný kódovací asistent s umelou inteligenciou pre Moltbot (predtým Clawdbot). Namiesto poskytovania legitímnych funkcií rozšírenie ticho nasadilo škodlivé užitočné zaťaženie do napadnutých systémov.

Rozšírenie s názvom „ClawdBot Agent – AI Coding Assistant“ (clawdbot.clawdbot-agent) bolo publikované 27. januára 2026 používateľom s menom „clawdbot“. Spoločnosť Microsoft ho následne odstránila z Marketplace. Útočníci využili rýchly nárast popularity Moltbotu na nalákanie nič netušiacich vývojárov k inštalácii nástroja, ktorý samotný Moltbot oficiálne neponúka.

Prečo bol Moltbot atraktívnou návnadou

Moltbot dosiahol na GitHube viac ako 85 000 hviezdičiek, a to vďaka svojmu prísľubu lokálne hostovaného osobného asistenta s umelou inteligenciou, ktorý bude poháňaný rozsiahlymi jazykovými modelmi. Platforma umožňuje interakciu prostredníctvom známych služieb, ako sú WhatsApp, Telegram, Slack, Discord, Signal, iMessage, Microsoft Teams, Google Chat a webových chatovacích klientov.

Kritickým bodom, ktorý sa často prehliada, je, že Moltbot nemá žiadne legitímne rozšírenie pre VS Code. Útočníci túto medzeru využili zavedením falošného pluginu, ktorý bol navrhnutý tak, aby sa bezproblémovo začlenil do vývojárskeho ekosystému.

Od spustenia IDE po plné diaľkové ovládanie

Po nainštalovaní sa škodlivé rozšírenie automaticky spúšťalo pri každom spustení VS Code. Z webovej stránky clawdbot.getintwopc.site načítalo vzdialený súbor config.json, ktorý rozšíreniu nariadil spustiť binárny súbor s názvom Code.exe. Tento spustiteľný súbor nasadil legitímny nástroj pre vzdialený prístup: ConnectWise ScreenConnect.

Nainštalovaný klient ScreenConnect sa potom pripojil k adrese meeting.bulletmailer.net:8041, čím útočníkom poskytol trvalý interaktívny vzdialený prístup k infikovanému počítaču.

Taktiky redundantného doručovania a odolnosti

Útočníci prevádzkovali vlastnú reléovú infraštruktúru ScreenConnect a distribuovali predkonfigurovaného klienta prostredníctvom rozšírenia. Viaceré záložné mechanizmy zabezpečovali doručenie užitočného zaťaženia aj v prípade zlyhania primárnych kanálov velenia a riadenia.

Patrili sem:

• Načítanie a bočné načítanie škodlivej knižnice DLL založenej na platforme Rust (DWrite.dll), na ktorú sa odkazuje v súbore config.json a ktorá je schopná stiahnuť klienta ScreenConnect z Dropboxu.
• Bočné načítanie DLL pomocou súboru Code.exe, ktorý by prednostne načítal škodlivú knižnicu pri umiestnení do rovnakého adresára.
• Pevne zakódované adresy URL v rámci rozšírenia odkazujúce na alternatívne miesta na sťahovanie.

• Metóda zálohovania založená na dávkových skriptoch, ktorá získava užitočné zaťaženie z darkgptprivate.com.

Hlbšia analýza naznačuje, že útočníci očakávali prevádzkové zlyhania, keďže niekoľko mechanizmov bolo nespoľahlivých, no zároveň viacvrstvových pre zachovanie trvalosti.

Väčšia expozícia: Nezabezpečené nasadenie Moltbotov

Okrem škodlivého rozšírenia výskumníci objavili online stovky neoverených inštancií Moltbotu. Tie boli výsledkom klasickej nesprávnej konfigurácie reverznej proxy, ktorá odhalila konfiguračné súbory, kľúče API, poverenia OAuth a súkromné histórie chatu.

Chyba pramenila z automatického schvaľovania „lokálnych“ pripojení Moltbotom v kombinácii s nasadením za reverznými proxy. Prevádzka z internetu bola mylne považovaná za dôveryhodný lokálny prístup, čo umožňovalo neoverené ovládanie.

Keď sa agenti AI stanú útočnými proxy

Agenti Moltbot majú operačnú autonómiu. Môžu odosielať správy v mene používateľov, interagovať naprieč hlavnými platformami na odosielanie správ, spúšťať nástroje a príkazy. To predstavuje vážne riziko, ak sa získa neoprávnený prístup.

• Kompromitovaní agenti môžu byť zneužití na:
• Vydávanie sa za operátorov a vkladanie správ do súkromných konverzácií
• Manipulácia s výstupmi a pracovnými postupmi agentov
• Neviditeľne odhaľte citlivé údaje
• Distribúcia škodlivých alebo skrytých „zručností“ prostredníctvom MoltHub (predtým ClawdHub), čo umožňuje útoky v štýle dodávateľského reťazca.

Rozsiahle nesprávne konfigurácie už vytvorili podmienky vhodné pre únik poverení, zneužitie prompt-injection a scenáre kompromitácie naprieč cloudom.

Architektonický slabý bod

Jadrom problému je architektonická filozofia Moltbotu. Platforma uprednostňuje bezproblémové nasadenie pred prísnymi predvolenými nastaveniami. Používatelia môžu rýchlo integrovať citlivé podnikové služby bez vynúteného firewallu, overovania poverení alebo sandboxu pluginov.

Bezpečnostní odborníci varujú, že Moltbot má rozsiahly prístup k podnikovým systémom, často z nespravovaných osobných zariadení mimo tradičných bezpečnostných perimetrov, čo pri nesprávnej konfigurácii vytvára kontrolné body s vysokým dopadom. Absencia sandboxu a ukladanie dlhodobej pamäte a prihlasovacích údajov v otvorenom texte robia z Moltbotu obzvlášť atraktívny cieľ.

Ak útočník ohrozí hostiteľský počítač, pokročilé techniky nie sú potrebné. Moderní informační zlodeji bežne zhromažďujú známe adresáre a hľadajú tokeny, kľúče API, protokoly a konfiguračné údaje vývojárov. Keď sú tieto aktíva uložené nešifrované, je možné ich získať v priebehu niekoľkých sekúnd.

Výskumníci už pozorovali rodiny malvéru ako služby, ako napríklad RedLine, Lumma a Vidar, ktoré sa špecificky prispôsobujú cieleným adresárovým štruktúram súvisiacim s Moltbotom.

Od krádeže údajov k kognitívnemu ohrozeniu

Pre operátorov informačného krádeža predstavujú dáta z Moltbotu viac než len prihlasovacie údaje. Umožňujú to, čo výskumníci opisujú ako „krádež kognitívneho kontextu“. Prístup k histórii konverzácií, systémovým výzvam a dlhodobej pamäti umožňuje útočníkom pochopiť nielen systémy, ale aj operačný zámer.

Ak útočníci získajú aj prístup na zápis, napríklad prostredníctvom trójskeho koňa so vzdialeným prístupom nasadeného spolu s útočníkom na zlodejov, môžu eskalovať k únosu agentov a otrave pamäte, pričom v priebehu času nenápadne manipulujú so správaním, výstupmi a vzťahmi dôvery.

Okamžité opatrenia na zmiernenie rizika

Organizáciám a jednotlivcom, ktorí prevádzkujú Moltbot s predvolenými nastaveniami, sa dôrazne odporúča, aby okamžite podnikli obranné kroky:

• Auditujte všetky konfigurácie a vystavené služby.
• Zrušte a otočte každú pripojenú integráciu a poverenia.
• Skontrolujte systémy, či neobsahujú známky kompromitácie.
• Vynucujte riadenie prístupu a monitorovanie na úrovni siete.

Bez rozhodnej nápravy zostávajú prostredia Moltbotov vysoko náchylné na tiché prevzatie, odčerpávanie údajov a útoky na dodávateľský reťazec.