Los usuarios de Discord están enfrentando una amenaza creciente por parte de VVS Stealer, un malware ladrón de información basado en Python que apunta a datos sensibles de cuentas, incluyendo credenciales y tokens. Este ladrón fue promocionado activamente en Telegram desde abril de 2025, destacando su capacidad para robar datos de Discord, interceptar sesiones activas mediante inyección y extraer información de navegadores web como cookies, 

Los usuarios de Discord enfrentan una amenaza creciente por parte de VVS Stealer, un malware ladrón de información basado en Python que apunta a datos sensibles de cuentas, incluyendo credenciales y tokens.

Este ladrón se promocionó activamente en Telegram desde abril de 2025, destacando su capacidad para robar datos de Discord, interceptar sesiones activas mediante inyección y extraer información de navegadores web como cookies, contraseñas, historial de navegación y detalles de autocompletado.

El malware se distribuye como un paquete PyInstaller y utiliza Pyarmor versión 9.1.4 (Pro) para ocultar su código, lo que dificulta su detección y análisis por parte de herramientas de seguridad.

Investigadores de Palo Alto Networks señalaron que VVS Stealer representa una amenaza grave porque combina la facilidad de desarrollo en Python con técnicas avanzadas de ocultamiento.

Los autores del malware han creado una herramienta efectiva y sigilosa que puede eludir muchas medidas de seguridad tradicionales.

Cuando una víctima ejecuta el archivo infectado, VVS Stealer comienza a recopilar tokens de Discord, información de la cuenta, métodos de pago, IDs de usuario, nombres de usuario, direcciones de correo electrónico, números de teléfono, listas de amigos, membresías en servidores e incluso verifica si la autenticación en dos factores está habilitada.

Los datos robados se envían a los atacantes a través de webhooks de Discord, que son canales simples para publicar mensajes sin necesidad de autenticación de bots.

Tras robar los datos iniciales de Discord, el malware toma el control matando cualquier proceso de Discord en ejecución e inyectando una carga útil maliciosa de JavaScript en el directorio de la aplicación Discord.

Esta inyección permite a VVS Stealer monitorear el tráfico de red utilizando el protocolo DevTools de Chrome e interceptar acciones importantes del usuario, como ver códigos de respaldo, cambiar contraseñas o agregar métodos de pago.

El código inyectado se basa en el framework Electron y crea hooks de eventos que recopilan y envían automáticamente la información de la cuenta y facturación del usuario cada vez que ocurren estas acciones.

El ladrón también apunta a múltiples navegadores web, incluyendo Chrome, Firefox, Edge, Brave, Opera y Yandex.

De estos navegadores, extrae datos de autocompletado, cookies, historial de navegación y contraseñas guardadas. Todos los datos recopilados del navegador se comprimen en un único archivo ZIP nombrado con el nombre de usuario de la víctima y se envían a los atacantes mediante solicitudes HTTP POST a endpoints de webhook predefinidos.

Para mantener el acceso, VVS Stealer se copia a sí mismo en la carpeta de Inicio de Windows, asegurando que se ejecute cada vez que se inicia el equipo. Este mecanismo de persistencia permite que el malware continúe robando datos incluso si la víctima reinstala Discord o cambia sus contraseñas.

Desglose técnico del mecanismo de infección

La muestra de malware analizada por los investigadores tiene el hash SHA-256 c7e6591e5e021daa30f949a6f6e0699ef2935d2d7c06ea006e3b201c52666e07 y expira después del 31 de octubre de 2026.

El ladrón utiliza PyInstaller para empaquetar el código Python y sus dependencias en un único archivo ejecutable.

Los investigadores de seguridad extrajeron componentes clave utilizando la utilidad integrada pyi-archive_viewer, incluyendo el archivo de bytecode Python llamado vvs, el archivo DLL de tiempo de ejecución de Pyarmor pyarmor_runtime.pyd y detalles de configuración que muestran el número de licencia 007444 y la marca de tiempo 2025-04-27T11:04:52.523525.

Para ocultar sus operaciones, VVS Stealer utiliza cifrado AES-128-CTR con claves y valores específicos.

La clave de cifrado 273b1b1373cf25e054a61e2cb8a947b8 se extrajo del archivo DLL de tiempo de ejecución de Pyarmor, mientras que el nonce XOR 2db99d18a0763ed70bbd6b3c es específico para cada carga útil.

Todas las solicitudes de red utilizan la cadena fija de User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/115.0.0.0 Safari/537.36.

El malware busca tokens de Discord cifrados que comienzan con dQw4w9WgXcQ: utilizando expresiones regulares en archivos .ldb o .log dentro del directorio LevelDB, luego los descifra utilizando la API de Protección de Datos de Windows.