VVS-stjæler

Cybersikkerhedsforskere har afsløret en ny Python-baseret informationsstjælende malware kaldet VVS Stealer (også markedsført som VVS $tealer). Truslen er specifikt udviklet til at høste Discord-legitimationsoplysninger og autentificeringstokens, hvilket markerer den som endnu en aktør i det voksende økosystem af råvarestjælere. Beviser tyder på, at malwaren har været annonceret til salg på Telegram siden april 2025.

Aggressiv markedsføring og usædvanligt billige priser

VVS Stealer, der markedsføres i Telegram-kanaler som den 'ultimative tyv', positioneres som en billig mulighed for cyberkriminelle. Det tilbydes under flere abonnementsniveauer, lige fra en billig ugentlig plan til en livstidslicens, hvilket gør det til et af de mest overkommelige tyveprogrammer, der i øjeblikket er tilgængelige på undergrundsmarkeder.

Sandsynlig oprindelse og trusselsaktørprofil

Ifølge efterretningstjenester offentliggjort i slutningen af april 2025 menes VVS Stealer at være udviklet af en fransktalende trusselsaktør. Personen eller gruppen bag er angiveligt aktiv i adskillige Telegram-fællesskaber forbundet med udvikling og distribution af stealers, herunder grupper med tilknytning til Myth Stealer og Eyes Stealer.

Forvirring som en central undvigelsesstrategi

Malwarens kildekode er stærkt tilsløret af PyArmor, et Python-beskyttelsesframework designet til at komplicere statisk analyse og signaturbaseret detektion. Selvom PyArmor har legitime kommercielle anvendelser, misbruges det i stigende grad af malware-udviklere til at skjule ondsindet logik og forsinke reverse engineering-indsatsen.

Distribution, udførelse og persistens

VVS Stealer leveres som en PyInstaller-pakket eksekverbar fil, der gør det muligt at køre som en selvstændig Windows-binær fil. Når den er kørt, etablerer den persistens ved at kopiere sig selv til Windows-startmappen, hvilket sikrer, at den automatisk starter efter hver systemgenstart. For at narre ofrene viser malwaren opdigtede 'Fatal Error'-pop-ups, der beder brugerne om at genstarte deres maskiner og maskerer dens baggrundsaktivitet.

Datatyverifunktioner

Efter udførelsen indsamler tyveren en bred vifte af følsomme oplysninger fra det kompromitterede system, herunder:

• Discord-tokens og kontorelaterede data
• Browserdata fra Chromium-baserede browsere og Firefox, såsom cookies, browserhistorik, gemte adgangskoder og automatisk udfyldning
• Skærmbilleder taget fra den inficerede enhed
• Discord-injektion og sessionskapring

Ud over grundlæggende tyveri af legitimationsoplysninger inkorporerer VVS Stealer Discord-injektionsteknikker til at overtage aktive brugersessioner. Først afslutter den enhver kørende Discord-proces med magt. Malwaren henter derefter en obfuskeret JavaScript-nyttelast fra en fjernserver. Dette script udnytter Chrome DevTools Protocol (CDP) til at overvåge netværkstrafik, hvilket muliggør sessionskapning og aflytning af legitimationsoplysninger i realtid, når Discord genstartes.

Bredere sikkerhedsmæssige konsekvenser

VVS Stealer fremhæver en fortsat tendens i moderne malwareudvikling: kombinationen af Pythons tilgængelighed med avanceret obfuskation for at skabe skjulte og robuste trusler. Efterhånden som angribere forfiner disse teknikker, står forsvarere over for stigende udfordringer inden for detektion og analyse, hvilket understreger behovet for adfærdsovervågning og proaktiv trusselsintelligens i stedet for udelukkende at stole på statiske signaturer.