GhostClaw/GhostLoader : campagne infostealer macOS via GitHub et workflows IA

🔍 Contexte

Publié le 20 mars 2026 par Jamf Threat Labs (Thijs Xhaflaire), cet article détaille l’extension de la campagne GhostClaw/GhostLoader, initialement documentée par JFrog Security Research début mars 2026. Jamf a identifié au moins huit nouveaux échantillons et des vecteurs d’infection inédits via des dépôts GitHub malveillants.

🎯 Vecteurs d’infection

Deux méthodes de distribution parallèles ont été observées :

• Dépôts GitHub malveillants : impersonnent des outils légitimes (trading bots, SDKs, utilitaires développeurs). Certains dépôts affichent plusieurs centaines d’étoiles (ex. TradingView-Claw : 386 étoiles). Les dépôts sont d’abord peuplés de code bénin avant introduction de composants malveillants.
• Workflows IA (OpenClaw) : des fichiers SKILL.md ciblent les agents de développement IA qui installent automatiquement des “skills” depuis GitHub. Le comportement malveillant est déclenché lors de la phase d’installation (install.sh).

⚙️ Chaîne d’exécution multi-étapes

1. Bootstrap (install.sh) : récupère et exécute le script initial, installe Node.js dans un répertoire utilisateur (sans privilèges élevés), utilise curl -k (TLS désactivé).
2. Vol de credentials (setup.js) : script JavaScript fortement obfusqué. Affiche de faux indicateurs de progression, présente une fausse invite de mot de passe en terminal, valide les credentials via dscl . -authonly. Utilise AppleScript pour des dialogues natifs imitant des prompts macOS. Demande l’accès Full Disk Access (FDA).
3. Récupération du payload secondaire : contacte le C2 trackpipe[.]dev avec un UUID unique par dépôt, reçoit un payload chiffré, le déchiffre et l’écrit dans /tmp/sys-opt-{random}.js, puis l’exécute en processus détaché.
4. Persistance : le payload secondaire (GhostLoader) se relocalise dans ~/.cache/.npm_telemetry/monitor.js.
5. Anti-forensics (postinstall.js) : efface le terminal, installe le package npm antigravity (package légitime ancien, utilisé comme leurre), affiche des messages de succès factices.

🌐 Infrastructure C2

• Domaine unique partagé : trackpipe.dev
• Identifiants UUID distincts par dépôt pour segmenter l’activité
• Variable d’environnement NODE_CHANNEL transmise au payload secondaire

🔗 Campagnes connexes

L’article mentionne des campagnes similaires récentes : Glassworm et PolinRider, utilisant des techniques analogues de supply chain logicielle.

📄 Type d’article

Analyse technique publiée par Jamf Threat Labs, visant à documenter les TTP, l’infrastructure et les IOCs de la campagne GhostClaw/GhostLoader pour la communauté CTI.

🧠 TTPs et IOCs détectés

TTP

• T1195.001 — Supply Chain Compromise: Compromise Software Dependencies and Development Tools (Initial Access)
• T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
• T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
• T1566.003 — Phishing: Spearphishing via Service (Initial Access)
• T1056.002 — Input Capture: GUI Input Capture (Credential Access)
• T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
• T1555 — Credentials from Password Stores (Credential Access)
• T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1070.003 — Indicator Removal: Clear Command History (Defense Evasion)
• T1105 — Ingress Tool Transfer (Command and Control)
• T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
• T1547 — Boot or Logon Autostart Execution (Persistence)
• T1564.001 — Hide Artifacts: Hidden Files and Directories (Defense Evasion)
• T1548.004 — Abuse Elevation Control Mechanism: Elevated Execution with Prompt (Privilege Escalation)

IOC

• Domaines : trackpipe.dev
• URLs : https://trackpipe.dev
• Fichiers : install.sh
• Fichiers : setup.js
• Fichiers : postinstall.js
• Fichiers : monitor.js
• Fichiers : SKILL.md
• Chemins : /tmp/sys-opt-{random}.js
• Chemins : ~/.cache/.npm_telemetry/monitor.js

Malware / Outils

• GhostClaw (stealer)
• GhostLoader (loader)

---

🔗 Source originale : https://www.jamf.com/blog/ghostclaw-ghostloader-malware-github-repositories-ai-workflows/