Badacze cyberbezpieczeństwa ujawnili nowego stealera informacji napisanego w Pythonie, nazwanego VVS Stealer (sprzedawanego także jako VVS $tealer), którego zadaniem jest wykradanie poświadczeń Discorda, tokenów, danych przeglądarki i zrzutów ekranu.
Według Palo Alto Networks Unit 42 malware jest sprzedawany na Telegramie co najmniej od kwietnia 2025 roku w cenie od zaledwie 10 € tygodniowo, co czyni go jednym z najtańszych i najłatwiej dostępnych stealerów na rynku.
Kluczowe możliwości
VVS Stealer jest dystrybuowany jako plik wykonywalny PyInstaller i wykorzystuje obfuskację PyArmor, co znacznie utrudnia wykrywanie i inżynierię wsteczną.
Po uruchomieniu malware:
- Zapewnia sobie trwałość poprzez folder Autostart systemu Windows
- Wyświetla fałszywe okienka „Fatal Error”, aby nakłonić użytkowników do ponownego uruchomienia
- Wykrada:
- Tokeny Discorda i dane kont
- Poświadczenia z przeglądarek (Chromium i Firefox)
- Pliki cookie, dane autouzupełniania i historię przeglądania
- Zrzuty ekranu
Zaawansowane przejmowanie Discorda
Malware przeprowadza ataki z wstrzykiwaniem kodu do Discorda poprzez:
- Zakończenie aktywnych procesów Discorda
- Pobranie zaciemnionego ładunku JavaScript
- Monitorowanie ruchu za pomocą Chrome DevTools Protocol (CDP)
- Przejęcie aktywnych sesji Discorda
Badacze uważają, że malware jest obsługiwany przez aktora zagrożeń mówiącego po francusku, aktywnego w wielu grupach na Telegramie poświęconych stealerom.
Dlaczego to ważne
Badacze bezpieczeństwa ostrzegają, że:
- Malware pisany w Pythonie staje się coraz trudniejszy do wykrycia
- Techniki obfuskacji, takie jak PyArmor, pomagają omijać wykrywanie oparte na sygnaturach
- Niska cena obniża barierę wejścia dla cyberprzestępców
Ryzyko zwiększa fakt, że według Hudson Rock wykradzione poświadczenia administratorów są wykorzystywane do przejmowania legalnych witryn firmowych, które następnie nieświadomie hostują i rozpowszechniają te same infostealery — tworząc samonapędzającą się pętlę infekcji.
„Legalne firmy stają się punktami dystrybucji malware po tym, jak ich poświadczenia zostaną wykradzione przez infostealery”.
Wnioski dla obrońców
✔ Monitoruj nieautoryzowane mechanizmy trwałości przy uruchamianiu systemu
✔ Wykrywaj zachowania związane z wstrzykiwaniem kodu do Discorda i nieoczekiwane ładunki JS
✔ Traktuj kradzież poświadczeń jako zapowiedź szerszego przejęcia
✔ Zakładaj, że wykradzione poświadczenia mogą zostać użyte do nadużyć w łańcuchu dostaw
