Discord nel mirino: come VVS Stealer trasforma la chat sociale in una miniera d’oro di credenziali

Tutto inizia con una semplice chat. Magari un amico condivide un file, oppure clicchi un link in un server Discord. Ma dietro le quinte, un nuovo protagonista del cybercrimine - VVS Stealer - sta pazientemente aspettando di trasformare la tua vita online in un tesoro per i criminali. Mentre Discord consolida il suo posto al cuore delle comunità digitali, VVS Stealer ne sta sfruttando in silenzio fiducia e portata, lasciando migliaia di utenti esposti e inconsapevoli.

Dati rapidi

• Prima comparsa: aprile 2025, commercializzato su Telegram ai cybercriminali.
• Obiettivi: utenti Discord - ruba token, credenziali, informazioni di pagamento e altro.
• Persistenza: si copia nelle cartelle di avvio di Windows e simula messaggi di errore.
• Attacco multi-vettore: estrae dati dal browser e dirotta attivamente le sessioni Discord.
• Offuscamento: usa crittografia avanzata e protezione del codice per eludere il rilevamento.

Anatomia di un furto digitale

VVS Stealer non è il solito malware “mordi e fuggi”. Scritto in Python e distribuito tramite pacchetti PyInstaller inclusi, aggira con astuzia la necessità che le vittime installino moduli aggiuntivi. I suoi creatori lo hanno avvolto in strati di armatura digitale: offuscamento Pyarmor, crittografia AES-128-CTR e stringhe di codice cifrate rendono il malware un incubo da sezionare per gli analisti. Persino la sua “data di scadenza” è codificata: dopo Halloween 2026, si autodistrugge, lasciando poche tracce.

Una volta rilasciato, VVS Stealer punta Discord passando al setaccio le directory LevelDB alla ricerca di token cifrati - le chiavi segrete degli account. Con l’aiuto della stessa Data Protection API di Windows, li decifra, saccheggiando tutto: da nomi utente ed email fino ai metodi di pagamento e alle impostazioni di autenticazione a più fattori. Questo bottino viene inviato a webhook Discord controllati dagli attaccanti, pronto per essere sfruttato o venduto.

La minaccia non si ferma ai token. VVS Stealer inietta JavaScript offuscato direttamente nell’app Electron di Discord, ottenendo un posto in prima fila sull’attività dell’utente. Tramite il Chrome DevTools Protocol, spia in tempo reale cambi di password, richieste di codici di backup e aggiornamenti dei pagamenti. Nel frattempo, depreda i dati di 19 browser popolari - Chrome, Firefox, Edge, Brave - arraffando cookie, password, informazioni di compilazione automatica e cronologie di navigazione.

Per assicurarsi la presa, il malware si copia nelle cartelle di avvio di Windows, garantendo l’esecuzione a ogni riavvio. Le vittime vengono depistate da falsi messaggi di errore, che regalano al malware minuti preziosi per completare la sua missione.

Trasformare fiducia e tecnologia in armi

VVS Stealer è un monito inquietante di come strumenti di sviluppo legittimi possano essere trasformati in armi. La sua combinazione di offuscamento avanzato, furto di dati multi-vettore e autopreservazione integrata lo rende un avversario formidabile tanto per gli utenti quanto per i difensori. Man mano che la popolarità di Discord cresce, cresce anche l’attrattiva per i cybercriminali - trasformando i nostri ritrovi digitali in terreni di caccia.

WIKICROOK

• Offuscamento: l’offuscamento è la pratica di mascherare codice o dati per renderli difficili da comprendere, analizzare o rilevare per gli esseri umani o per gli strumenti di sicurezza.
• Token Discord: un token Discord è una chiave digitale univoca che consente a utenti o bot di accedere a un account Discord senza password. Se rubato, permette il controllo completo dell’account.
• Applicazione Electron: un’applicazione Electron è un’app desktop costruita con tecnologie web come HTML, CSS e JavaScript, che gira su Windows, macOS e Linux.
• PyInstaller: PyInstaller impacchetta programmi Python in eseguibili autonomi, semplificando la distribuzione e talvolta venendo usato per nascondere codice malevolo in contesti di cybersicurezza.
• Webhook: un webhook è un modo con cui un software può inviare istantaneamente dati o avvisi all’indirizzo web di un’altra applicazione quando si verificano eventi specifici.