Κλέφτης VVS

Ερευνητές κυβερνοασφάλειας ανακάλυψαν ένα νέο κακόβουλο λογισμικό κλοπής πληροφοριών που βασίζεται σε Python, το οποίο ονομάζεται VVS Stealer (διατίθεται επίσης στην αγορά ως VVS $tealer). Η απειλή έχει σχεδιαστεί ειδικά για να συλλέγει διαπιστευτήρια και διακριτικά ελέγχου ταυτότητας του Discord, γεγονός που την καθιστά έναν ακόμη συμμετέχοντα στο αναπτυσσόμενο οικοσύστημα των κλοπιδομανών εμπορευμάτων. Τα στοιχεία δείχνουν ότι το κακόβουλο λογισμικό διαφημίζεται προς πώληση στο Telegram από τον Απρίλιο του 2025.

Επιθετικό μάρκετινγκ και ασυνήθιστα φθηνές τιμές

Προωθούμενο στα κανάλια του Telegram ως το «απόλυτο stealer», το VVS Stealer τοποθετείται ως μια οικονομική επιλογή για τους κυβερνοεγκληματίες. Προσφέρεται σε πολλαπλά επίπεδα συνδρομής, που κυμαίνονται από ένα εβδομαδιαίο πρόγραμμα χαμηλού κόστους έως μια άδεια χρήσης εφ' όρου ζωής, καθιστώντας το ένα από τα πιο οικονομικά stealer που διατίθενται αυτήν τη στιγμή στις underground αγορές.

Πιθανή Προέλευση και Προφίλ Απειλής

Σύμφωνα με πληροφορίες που δημοσιεύθηκαν στα τέλη Απριλίου 2025, πιστεύεται ότι το VVS Stealer αναπτύχθηκε από έναν γαλλόφωνο απειλητικό παράγοντα. Το άτομο ή η ομάδα πίσω από αυτό φέρεται να δραστηριοποιείται σε διάφορες κοινότητες του Telegram που σχετίζονται με την ανάπτυξη και διανομή stealer, συμπεριλαμβανομένων ομάδων που συνδέονται με το Myth Stealer και το Eyes Stealer.

Η συσκότιση ως βασική στρατηγική αποφυγής

Ο πηγαίος κώδικας του κακόβουλου λογισμικού είναι σε μεγάλο βαθμό συσκοτισμένος χρησιμοποιώντας το PyArmor, ένα πλαίσιο προστασίας Python που έχει σχεδιαστεί για να περιπλέκει τη στατική ανάλυση και την ανίχνευση βάσει υπογραφών. Ενώ το PyArmor έχει νόμιμες εμπορικές χρήσεις, γίνεται όλο και πιο άχρηστο από τους δημιουργούς κακόβουλου λογισμικού για να αποκρύψει την κακόβουλη λογική και να καθυστερήσει τις προσπάθειες αντίστροφης μηχανικής.

Διανομή, Εκτέλεση και Διατήρηση

Το VVS Stealer παρέχεται ως εκτελέσιμο αρχείο σε πακέτο PyInstaller, επιτρέποντάς του να εκτελείται ως αυτόνομο δυαδικό αρχείο των Windows. Μόλις εκτελεστεί, δημιουργεί persistence αντιγράφοντας τον εαυτό του στον κατάλογο εκκίνησης των Windows, διασφαλίζοντας ότι εκκινείται αυτόματα μετά από κάθε επανεκκίνηση του συστήματος. Για να παραπλανήσει τα θύματα, το κακόβουλο λογισμικό εμφανίζει κατασκευασμένα αναδυόμενα παράθυρα τύπου "Fatal Error" που ζητούν από τους χρήστες να επανεκκινήσουν τα μηχανήματά τους, αποκρύπτοντας τη δραστηριότητά του στο παρασκήνιο.

Δυνατότητες κλοπής δεδομένων

Μετά την εκτέλεση, ο κλέφτης συλλέγει ένα ευρύ φάσμα ευαίσθητων πληροφοριών από το παραβιασμένο σύστημα, όπως:

• Discord tokens και δεδομένα που σχετίζονται με τον λογαριασμό
• Δεδομένα προγράμματος περιήγησης από προγράμματα περιήγησης που βασίζονται στο Chromium και τον Firefox, όπως cookies, ιστορικό περιήγησης, αποθηκευμένους κωδικούς πρόσβασης και καταχωρίσεις αυτόματης συμπλήρωσης
• Στιγμιότυπα οθόνης που καταγράφηκαν από τη μολυσμένη συσκευή

Πέρα από την βασική κλοπή διαπιστευτηρίων, το VVS Stealer ενσωματώνει τεχνικές έγχυσης Discord για την ανάληψη του ελέγχου των ενεργών συνεδριών χρηστών. Αρχικά τερματίζει αναγκαστικά οποιαδήποτε εκτελούμενη διεργασία Discord. Στη συνέχεια, το κακόβουλο λογισμικό ανακτά ένα κρυφό φορτίο JavaScript από έναν απομακρυσμένο διακομιστή. Αυτό το σενάριο αξιοποιεί το πρωτόκολλο Chrome DevTools (CDP) για την παρακολούθηση της κυκλοφορίας δικτύου, επιτρέποντας την παραβίαση συνεδριών και την υποκλοπή διαπιστευτηρίων σε πραγματικό χρόνο μόλις επανεκκινηθεί το Discord.

Ευρύτερες επιπτώσεις στην ασφάλεια

Το VVS Stealer υπογραμμίζει μια συνεχιζόμενη τάση στην ανάπτυξη σύγχρονου κακόβουλου λογισμικού: τον συνδυασμό της προσβασιμότητας της Python με την προηγμένη απόκρυψη για τη δημιουργία αόρατων και ανθεκτικών απειλών. Καθώς οι εισβολείς βελτιώνουν αυτές τις τεχνικές, οι αμυντικοί αντιμετωπίζουν αυξανόμενες προκλήσεις στην ανίχνευση και την ανάλυση, υπογραμμίζοντας την ανάγκη για παρακολούθηση συμπεριφοράς και προληπτική πληροφόρηση για απειλές αντί για εξάρτηση μόνο από στατικές υπογραφές.