假冒的Moltbot AI编码助手
网络安全研究人员在微软官方应用商店中发现了一款恶意的 Visual Studio Code 扩展程序，该扩展程序虚假宣传自己是一款免费的、基于人工智能的 Moltbot（原名 Clawdbot）代码助手。实际上，该扩展程序并没有提供任何合法功能，而是悄无声息地向受感染的系统部署了恶意程序。
这款名为“ClawdBot Agent – AI Coding Assistant”（clawdbot.clawdbot-agent）的扩展程序由名为“clawdbot”的用户于2026年1月27日发布。微软随后已将其从应用商店下架。不法分子利用Moltbot迅速走红的势头，诱骗不知情的开发者安装这款Moltbot官方并未提供的工具。
目录
为什么Moltbot是极具吸引力的诱饵
Moltbot 在 GitHub 上的星标数量已突破 85,000 个，这主要得益于其承诺提供基于大型语言模型的本地托管个人 AI 助手。该平台支持通过 WhatsApp、Telegram、Slack、Discord、Signal、iMessage、Microsoft Teams、Google Chat 和网页聊天客户端等常用服务进行交互。
一个经常被忽略的关键点是，Moltbot 并没有合法的 VS Code 扩展。攻击者利用了这一漏洞，引入了一个旨在与开发者生态系统无缝融合的伪造插件。
从 IDE 启动到完全远程控制
安装完成后，恶意扩展程序会在每次启动 VS Code 时自动执行。它会从 clawdbot.getintwopc.site 获取远程 config.json 文件，该文件指示扩展程序运行名为 Code.exe 的二进制文件。该可执行文件会部署一个合法的远程访问工具：ConnectWise ScreenConnect。
安装好的 ScreenConnect 客户端随后连接到 meeting.bulletmailer.net:8041，使攻击者能够持久、交互式地远程访问受感染的计算机。
冗余交付和弹性策略
攻击者运行着自己的 ScreenConnect 中继基础设施，并通过扩展程序分发预配置的客户端。多种备用机制确保即使主命令与控制通道发生故障，有效载荷也能顺利送达。
其中包括：
- 检索并侧载 config.json 中引用的基于 Rust 的恶意 DLL (DWrite.dll)，该 DLL 能够从 Dropbox 下载 ScreenConnect 客户端。
- 通过 Code.exe 进行 DLL 侧加载，当恶意库位于同一目录时，Code.exe 会优先加载该恶意库。
- 扩展程序中硬编码的 URL 指向备用下载位置。
更深入的分析表明，攻击者预料到了操作故障，因为一些机制不可靠，但却采用了多层持久化措施。
更大的风险：不安全的 Moltbot 部署
除了恶意扩展程序之外，研究人员还发现了数百个未经身份验证的 Moltbot 在线实例。这些实例是由于典型的反向代理配置错误造成的，导致配置文件、API 密钥、OAuth 凭据和私人聊天记录暴露在外。
该漏洞源于 Moltbot 自动批准“本地”连接的功能，以及其部署在反向代理之后的情况。来自互联网的流量被错误地视为可信的本地访问，从而实现了未经身份验证的控制。
当人工智能代理成为攻击代理时
Moltbot代理拥有自主运行能力。它们可以代表用户发送消息、在主流消息平台上进行交互、执行工具和运行命令。一旦获得未经授权的访问权限，这将带来严重的风险。
- 被收买的特工可能被滥用以达到以下目的：
- 冒充运营商并将信息注入私人对话
- 操控代理的输出和工作流程
- 隐蔽地窃取敏感数据
- 通过 MoltHub（原名 ClawdHub）分发恶意或带有后门的“技能”，从而发动供应链式攻击。
大范围的错误配置已经造成了凭证泄露、提示注入滥用和跨云入侵等问题的发生。
建筑上的弱点
问题的核心在于 Moltbot 的架构理念。该平台优先考虑的是无缝部署，而非强化默认设置。用户可以快速集成敏感的企业服务，而无需强制执行防火墙、凭证验证或插件沙箱。
安全专家警告称，Moltbot 能够深度访问企业系统，而且通常是通过位于传统安全边界之外的未经管理的个人设备进行访问，一旦配置错误，就会造成严重的安全漏洞。由于缺乏沙箱机制，并且长期记忆和凭证以明文形式存储，Moltbot 尤其容易成为攻击目标。
如果攻击者攻破了主机，就不需要使用高级技术。现代信息窃取程序通常会收集已知目录中的令牌、API密钥、日志和开发者配置数据。如果这些资产未加密存储，则可以在几秒钟内被窃取。
研究人员已经观察到 RedLine、Lumma 和 Vidar 等恶意软件即服务家族专门针对 Moltbot 相关的目录结构进行调整。
从数据盗窃到认知损害
对于信息窃取者而言，Moltbot 数据不仅仅代表凭证。它能够实现研究人员所说的“认知上下文窃取”。通过访问对话记录、系统提示和长期记忆，攻击者不仅可以了解系统，还能了解操作意图。
如果攻击者还获得了写入权限，例如通过与窃取程序一起部署的远程访问木马，他们就可以升级到代理劫持和内存投毒，随着时间的推移，巧妙地操纵行为、输出和信任关系。
立即采取的风险缓解措施
强烈建议使用默认设置运行 Moltbot 的组织和个人立即采取防御措施：
- 审核所有配置和已暴露的服务。
- 撤销并轮换所有已连接的集成和凭证。
- 检查系统是否存在被入侵的迹象。
- 实施网络级访问控制和监控。
如果不采取果断的补救措施，Moltbot 环境仍然极易受到静默接管、数据窃取和下游供应链攻击。
