גנב VVS

חוקרי אבטחת סייבר חשפו נוזקה חדשה מבוססת פייתון לגניבת מידע בשם VVS Stealer (משווקת גם בשם VVS $tealer). האיום תוכנן במיוחד כדי לאסוף אישורי Discord ואסימוני אימות, מה שמסמן אותו כתוספת למערכת האקולוגית הגדלה של גנבי סחורות. עדויות מצביעות על כך שהנוזקה פורסמה למכירה בטלגרם מאז אפריל 2025.

שיווק אגרסיבי ותמחור זול באופן יוצא דופן

VVS Stealer, המקודם בערוצי טלגרם כ"גנב האולטימטיבי", מוצב כאופציה זולה עבור פושעי סייבר. הוא מוצע במספר רמות מנוי, החל מתוכנית שבועית בעלות נמוכה ועד רישיון לכל החיים, מה שהופך אותו לאחד הגנבים הזולים ביותר הזמינים כיום בשווקים הסמויים.

מקור סביר ופרופיל גורם איום

על פי מידע מודיעיני שפורסם בסוף אפריל 2025, VVS Stealer נחשב כפותח על ידי גורם איום דובר צרפתית. על פי הדיווחים, האדם או הקבוצה שעומדים מאחוריו פעילים במספר קהילות טלגרם הקשורות לפיתוח והפצה של גנבים, כולל קבוצות המקושרות ל-Myth Stealer ו-Eyes Stealer.

ערפול כאסטרטגיית התחמקות מרכזית

קוד המקור של הנוזקה מעורפל במידה רבה באמצעות PyArmor, מסגרת הגנה של Python שנועדה לסבך ניתוח סטטי וזיהוי מבוסס חתימות. בעוד של-PyArmor יש שימושים מסחריים לגיטימיים, הוא מנוצל לרעה יותר ויותר על ידי יוצרי נוזקות כדי להסתיר לוגיקה זדונית ולעכב מאמצי הנדסה לאחור.

הפצה, ביצוע והתמדה

VVS Stealer מגיע כקובץ הרצה ארוז ב-PyInstaller, מה שמאפשר לו לפעול כקובץ בינארי עצמאי של Windows. לאחר ההפעלה, הוא מבטיח עמידות על ידי העתקת עצמו לספריית ההפעלה של Windows, מה שמבטיח שהוא מופעל אוטומטית לאחר כל אתחול מחדש של המערכת. כדי להטעות את הקורבנות, התוכנה הזדונית מציגה חלונות קופצים מפוברקים של 'שגיאה חמורה' המבקשים ממשתמשים להפעיל מחדש את המחשבים שלהם, תוך מיסוך פעילות הרקע שלה.

יכולות גניבת נתונים

לאחר הביצוע, הגנב אוסף מגוון רחב של מידע רגיש מהמערכת שנפרצה, כולל:

• אסימוני דיסקורד ונתונים הקשורים לחשבון
• נתוני דפדפן מדפדפנים מבוססי Chromium ו-Firefox, כגון קובצי Cookie, היסטוריית גלישה, סיסמאות שנשמרו ורשומות מילוי אוטומטי
• צילומי מסך שצולמו מהמכשיר הנגוע

מעבר לגניבת אישורים בסיסית, VVS Stealer משלבת טכניקות הזרקת Discord כדי להשתלט על סשנים פעילים של משתמשים. תחילה היא מפסיקה בכוח כל תהליך Discord הפועל. לאחר מכן, התוכנה הזדונית מאחזרת מטען JavaScript מעורפל משרת מרוחק. סקריפט זה ממנף את פרוטוקול Chrome DevTools (CDP) כדי לנטר את תעבורת הרשת, מה שמאפשר חטיפת סשנים ויירוט אישורים בזמן אמת לאחר הפעלת Discord מחדש.

השלכות ביטחוניות רחבות יותר

VVS Stealer מדגיש מגמה מתמשכת בפיתוח תוכנות זדוניות מודרניות: השילוב של נגישות Python עם ערפול מתקדם ליצירת איומים חשאיים ועמידים. ככל שתוקפים משכללים טכניקות אלו, מגנים מתמודדים עם אתגרים הולכים וגדלים בגילוי וניתוח, מה שמדגיש את הצורך בניטור התנהגותי ובמודיעין איומים פרואקטיבי במקום להסתמך על חתימות סטטיות בלבד.