Zlodej VVS

Výskumníci v oblasti kybernetickej bezpečnosti odhalili nový malvér založený na jazyku Python, ktorý kradne informácie a má názov VVS Stealer (tiež predávaný ako VVS $tealer). Táto hrozba je špeciálne navrhnutá na zhromažďovanie prihlasovacích údajov a autentifikačných tokenov z Discordu, čo ju označuje za ďalšieho účastníka rastúceho ekosystému kradcov komodít. Dôkazy naznačujú, že malvér je inzerovaný na predaj na Telegrame od apríla 2025.

Agresívny marketing a nezvyčajne nízke ceny

VVS Stealer, propagovaný v telegramových kanáloch ako „ultimátny stealer“, je prezentovaný ako lacná možnosť pre kyberzločincov. Je ponúkaný v rámci viacerých úrovní predplatného, od lacného týždenného plánu až po doživotnú licenciu, čo z neho robí jedného z najdostupnejších stealerov, ktoré sú momentálne dostupné na podzemných trhoch.

Pravdepodobný pôvod a profil aktéra hrozby

Podľa spravodajských informácií zverejnených koncom apríla 2025 sa predpokladá, že VVS Stealer vyvinul francúzsky hovoriaci hacker. Jednotlivec alebo skupina, ktorá za ním stojí, je údajne aktívna v niekoľkých telegramových komunitách spojených s vývojom a distribúciou stealerov, vrátane skupín prepojených s Myth Stealer a Eyes Stealer.

Zahmlievanie ako základná stratégia úniku

Zdrojový kód malvéru je silne zahalený pomocou PyArmoru, ochranného frameworku jazyka Python, ktorý je navrhnutý tak, aby komplikoval statickú analýzu a detekciu na základe podpisov. Hoci má PyArmor legitímne komerčné využitie, autori malvéru ho čoraz častejšie zneužívajú na zakrytie škodlivej logiky a oddialenie snáh o reverzné inžinierstvo.

Distribúcia, vykonávanie a perzistencia

VVS Stealer sa dodáva ako spustiteľný súbor zabalený v PyInstalleri, čo mu umožňuje spustiť sa ako samostatný binárny súbor systému Windows. Po spustení sa skopíruje do priečinka spúšťaného systému Windows, čím sa zabezpečí automatické spustenie po každom reštarte systému. Aby malvér obete oklamal, zobrazuje vymyslené kontextové okná s nápisom „Fatálna chyba“, ktoré vyzývajú používateľov na reštartovanie počítačov a maskujú jeho aktivitu na pozadí.

Možnosti krádeže údajov

Po vykonaní zlodej zhromaždí širokú škálu citlivých informácií z napadnutého systému vrátane:

• Tokeny Discordu a údaje súvisiace s účtom
• Údaje prehliadača z prehliadačov založených na prehliadačoch Chromium a Firefox, ako sú súbory cookie, história prehliadania, uložené heslá a položky automatického dopĺňania
• Snímky obrazovky zachytené z infikovaného zariadenia
• Discord Injection a únos relácie

Okrem základnej krádeže prihlasovacích údajov využíva VVS Stealer techniky vkladania údajov do Discordu na prevzatie aktívnych používateľských relácií. Najprv násilne ukončí akýkoľvek spustený proces Discordu. Malvér potom načíta z vzdialeného servera zahalený JavaScriptový dátový súbor. Tento skript využíva Chrome DevTools Protocol (CDP) na monitorovanie sieťovej prevádzky, čo umožňuje únos relácií a zachytávanie prihlasovacích údajov v reálnom čase po reštartovaní Discordu.

Širšie bezpečnostné dôsledky

VVS Stealer zdôrazňuje pokračujúci trend vo vývoji moderného malvéru: kombináciu prístupnosti Pythonu s pokročilým zahmlievaním s cieľom vytvoriť nenápadné a odolné hrozby. Keďže útočníci tieto techniky zdokonaľujú, obrancovia čelia rastúcim výzvam v oblasti detekcie a analýzy, čo zdôrazňuje potrebu monitorovania správania a proaktívneho spravodajstva o hrozbách, a nie spoliehania sa len na statické podpisy.