VVS Stealer

Investigadors de ciberseguretat han descobert un nou programari maliciós basat en Python que roba informació anomenat VVS Stealer (també comercialitzat com a VVS $tealer). L'amenaça està dissenyada específicament per obtenir credencials i tokens d'autenticació de Discord, cosa que la marca com un altre participant en el creixent ecosistema de lladres de productes bàsics. L'evidència suggereix que el programari maliciós s'ha anunciat per a la venda a Telegram des de l'abril del 2025.

Màrqueting agressiu i preus inusualment barats

Promocionat als canals de Telegram com el "lladre de programari definitiu", VVS Stealer es posiciona com una opció econòmica per als ciberdelinqüents. S'ofereix en múltiples nivells de subscripció, que van des d'un pla setmanal de baix cost fins a una llicència de per vida, cosa que el converteix en un dels lladres de programari més assequibles disponibles actualment als mercats clandestins.

Origen probable i perfil de l'actor amenaçador

Segons la intel·ligència publicada a finals d'abril de 2025, es creu que VVS Stealer va ser desenvolupat per un actor d'amenaces francòfon. L'individu o grup que hi ha darrere està actiu en diverses comunitats de Telegram associades amb el desenvolupament i la distribució de stealers, inclosos grups vinculats a Myth Stealer i Eyes Stealer.

L'ofuscació com a estratègia d'evasió central

El codi font del programari maliciós està molt ofuscat amb PyArmor, un marc de protecció de Python dissenyat per complicar l'anàlisi estàtica i la detecció basada en signatures. Tot i que PyArmor té usos comercials legítims, els autors de programari maliciós l'utilitzen cada cop més de manera abusiva per ocultar la lògica maliciosa i retardar els esforços d'enginyeria inversa.

Distribució, execució i persistència

VVS Stealer es lliura com un executable empaquetat per PyInstaller, cosa que li permet executar-se com un binari de Windows autònom. Un cop executat, estableix persistència copiant-se al directori d'inici de Windows, garantint que s'iniciï automàticament després de cada reinici del sistema. Per enganyar les víctimes, el programari maliciós mostra finestres emergents d'"Error fatal" fabricades que demanen als usuaris que reiniciïn les seves màquines, emmascarant la seva activitat en segon pla.

Capacitats de robatori de dades

Després de l'execució, el lladre recopila una àmplia gamma d'informació sensible del sistema compromès, incloent:

• Fitxes de Discord i dades relacionades amb el compte
• Dades del navegador de navegadors basats en Chromium i Firefox, com ara galetes, historial de navegació, contrasenyes desades i entrades d'emplenament automàtic
• Captures de pantalla fetes des del dispositiu infectat

Més enllà del robatori bàsic de credencials, VVS Stealer incorpora tècniques d'injecció de Discord per prendre el control de les sessions d'usuari actives. Primer finalitza per la força qualsevol procés de Discord en execució. A continuació, el programari maliciós recupera una càrrega útil de JavaScript ofuscada d'un servidor remot. Aquest script aprofita el protocol Chrome DevTools (CDP) per supervisar el trànsit de xarxa, permetent el segrest de sessions i la intercepció de credencials en temps real un cop es rellança Discord.

Implicacions de seguretat més àmplies

VVS Stealer destaca una tendència contínua en el desenvolupament modern de programari maliciós: la combinació de l'accessibilitat de Python amb l'ofuscació avançada per crear amenaces furtives i resistents. A mesura que els atacants refinen aquestes tècniques, els defensors s'enfronten a reptes creixents en la detecció i l'anàlisi, cosa que subratlla la necessitat de monitorització del comportament i intel·ligència d'amenaces proactiva en lloc de confiar només en signatures estàtiques.