Voleur VVS

Des chercheurs en cybersécurité ont découvert un nouveau logiciel malveillant de vol d'informations basé sur Python, baptisé VVS Stealer (également commercialisé sous le nom de VVS $tealer). Cette menace est spécifiquement conçue pour dérober les identifiants et jetons d'authentification Discord, ce qui en fait un nouvel acteur dans l'écosystème croissant des voleurs de données. Des éléments indiquent que ce logiciel malveillant est proposé à la vente sur Telegram depuis avril 2025.

Marketing agressif et prix exceptionnellement bas

Présenté sur les chaînes Telegram comme le « voleur de données ultime », VVS Stealer se positionne comme une solution économique pour les cybercriminels. Proposé avec différents niveaux d'abonnement, allant d'une formule hebdomadaire à bas prix à une licence à vie, il figure parmi les voleurs de données les plus abordables actuellement disponibles sur le marché noir.

Origine probable et profil de l’acteur de la menace

D'après des renseignements publiés fin avril 2025, VVS Stealer aurait été développé par un acteur malveillant francophone. L'individu ou le groupe à l'origine de ce logiciel serait actif dans plusieurs communautés Telegram associées au développement et à la distribution de logiciels espions, notamment des groupes liés à Myth Stealer et Eyes Stealer.

L’obfuscation comme stratégie d’évasion fondamentale

Le code source du logiciel malveillant est fortement obfusqué à l'aide de PyArmor, un framework de protection Python conçu pour compliquer l'analyse statique et la détection par signature. Bien que PyArmor ait des usages commerciaux légitimes, il est de plus en plus souvent détourné par les auteurs de logiciels malveillants pour dissimuler leur logique malveillante et retarder les efforts de rétro-ingénierie.

Distribution, exécution et persistance

VVS Stealer est distribué sous forme d'exécutable empaqueté via PyInstaller, ce qui lui permet de s'exécuter comme un binaire Windows autonome. Une fois lancé, il s'installe de manière persistante en se copiant dans le répertoire de démarrage de Windows, garantissant ainsi son lancement automatique après chaque redémarrage du système. Pour tromper ses victimes, le logiciel malveillant affiche de fausses fenêtres contextuelles d'« erreur fatale » incitant les utilisateurs à redémarrer leur ordinateur, masquant ainsi son activité en arrière-plan.

Capacités de vol de données

Après l'exécution, le pirate collecte un large éventail d'informations sensibles provenant du système compromis, notamment :

• jetons Discord et données relatives au compte
• Données de navigation provenant des navigateurs basés sur Chromium et de Firefox, telles que les cookies, l'historique de navigation, les mots de passe enregistrés et les entrées de remplissage automatique
• Captures d'écran réalisées à partir de l'appareil infecté
• Injection Discord et détournement de session

Au-delà du simple vol d'identifiants, VVS Stealer utilise des techniques d'injection Discord pour prendre le contrôle des sessions utilisateur actives. Il commence par interrompre de force tout processus Discord en cours d'exécution. Le logiciel malveillant récupère ensuite une charge utile JavaScript obfusquée depuis un serveur distant. Ce script exploite le protocole Chrome DevTools (CDP) pour surveiller le trafic réseau, permettant ainsi le détournement de session et l'interception des identifiants en temps réel une fois Discord relancé.

Implications plus larges en matière de sécurité

VVS Stealer illustre une tendance persistante dans le développement des logiciels malveillants modernes : l’association de l’accessibilité de Python à des techniques d’obfuscation avancées pour créer des menaces furtives et résistantes. À mesure que les attaquants perfectionnent ces techniques, les équipes de défense sont confrontées à des défis croissants en matière de détection et d’analyse, ce qui souligne la nécessité d’une surveillance comportementale et d’un renseignement proactif sur les menaces, plutôt que de se fier uniquement aux signatures statiques.