Pesquisadores da Unit42 identificaram uma campanha de um stealer escrito em Python, denominado VVS Stealer, direcionada a usuários do Discord com capacidade para coletar tokens, credenciais e dados de navegadores e exfiltrá‑los por webhooks.
Descoberta e principais capacidades
O VVS Stealer foi observado sendo distribuído como um executável empacotado via PyInstaller e obfuscado com Pyarmor (versão 9.1.4 Pro). Os pesquisadores destacam que o malware coleta tokens do Discord, informações de conta, métodos de pagamento, listas de amigos, associações a servidores e checa se a autenticação multifator está ativa.
Vetor de persistência e técnica de controle
Após execução, o stealer mata processos do Discord em execução e injeta um payload JavaScript na pasta da aplicação — uma técnica que permite monitorar ações da vítima via Chrome DevTools Protocol e captar eventos sensíveis, como visualização de códigos de recuperação ou alteração de métodos de pagamento. Para persistência, o binário copia‑se para a pasta de Inicialização do Windows.
Alcance técnico e artefatos
O sample analisado tem SHA‑256 c7e6591e5e021daa30f949a6f6e0699ef2935d2d7c06ea006e3b201c52666e07 e "expira" após 31/10/2026, segundo a análise. O malware busca tokens armazenados em LevelDB (.ldb/.log) que seguem o padrão prefixado por dQw4w9WgXcQ: e os decripta usando a API Windows Data Protection. A exfiltração ocorre via HTTP POST para endpoints predefinidos e via webhooks do Discord.
Ocultação e criptografia
O VVS usa Pyarmor para ofuscação e AES‑128‑CTR para cifrar dados. A análise extraiu uma chave de criptografia listada no runtime do Pyarmor: 273b1b1373cf25e054a61e2cb8a947b8, além de um nonce XOR específico por payload (2db99d18a0763ed70bbd6b3c), conforme relatado.
Impacto prático para usuários e operadores
- Usuários do Discord que executem binários não verificados correm risco de ter tokens e informações de conta comprometidos, permitindo sequestro de sessões e fraude.
- Como o malware injeta código no cliente Electron do Discord, alterações de credenciais pelo usuário podem não ser suficientes para encerrar o acesso se tokens válidos forem exfiltrados e reutilizados pelo atacante.
Recomendações
As medidas imediatas sugeridas pelas práticas de segurança aplicáveis são: evitar execução de executáveis desconhecidos; habilitar e reforçar MFA (com tokens físicos quando possível); rotacionar tokens e revogar sessões suspeitas via painel do Discord; usar ferramentas EDR para identificar persistência em Startup e injeção em diretórios de aplicações.
Limitações e atribuições
A análise pública foi conduzida por pesquisadores que citaram métodos técnicos e artefatos (hash, chaves e comportamento de exfiltração). Não há na fonte estimativa pública do número de vítimas nem atribuição criminal. A Unit42/Palo Alto Networks é citada como referência técnica na investigação.
Fonte: Cyber Security News (relatando análise da Unit42 / Palo Alto Networks sobre o VVS Stealer).