VVS StealerがDiscordトークンを窃取する原因と難読化技術の整理

本記事が扱う事象は、Pythonで作られた情報窃取型マルウェア「VVS Stealer（VVS $tealer）」が、Discordアカウント情報の取得を主目的に機能を拡張している点です。研究者の分析では、コード難読化とパッケージ化を組み合わせ、静的解析を困難にしたうえで、Discordのトークン窃取とセッション乗っ取り（インジェクション）までを想定した設計が示されています。さらに、Windowsの自動起動領域を使った永続化や、偽のエラーポップアップ表示など、利用者側の操作を誘導する動作も報告されています。 (The Hacker News)

• 公表された経緯とVVS Stealerの位置づけ
• Python難読化とパッケージ化が成立させる解析回避の構造
• Discordトークン窃取とインジェクションの流れ
• 永続化と偽エラー表示が支える運用面の成立条件
• 取得され得る情報と、組織側で論点になりやすい整理軸

公表された経緯とVVS Stealerの位置づけ

Unit 42（Palo Alto Networksの調査部門）が2026年1月に技術分析を公表し、その内容が複数メディアで整理されました。ここで焦点となったのは、VVS StealerがDiscord利用者を狙い、トークンやアカウント情報の窃取に加えて、ブラウザの認証情報やスクリーンショットまで収集対象にしている点です。 (Unit 42)

一方で、販売形態は「malware-as-a-service（マルウェアのサービス提供、MaaS）」に近く、Telegram上で少なくとも2025年4月頃から売買されていた、と報じられています。料金体系が複数用意されていた点も確認されており、入手手段が限定的な試作品ではなく、継続運用を前提にした“商品”として流通していたことを示す材料になります。 (The Hacker News)

他方、作成主体の特定は本記事の範囲では確定情報になりにくいものの、英語圏報道ではフランス語話者の関与可能性が言及されています。つまり、配布経路・販売経路・開発母体が分離される運用も想定され、事後分析では「どこで感染し、どこへ送信されたか」を切り分けて整理する必要が生じます。 (The Hacker News)

Python難読化とパッケージ化が成立させる解析回避の構造

VVS Stealerの中心的な特徴は、Pyarmor（パイアーマー）によるPythonコード難読化と、PyInstaller（パイインストーラー）による実行形式の配布を組み合わせている点です。 (Unit 42)

Unit 42の分析では、サンプルがPyInstallerパッケージとして配布され、その内部にPyarmorのランタイム（実行時に必要な部品）やPython本体DLLが含まれる構成が示されています。この構造は、利用者側で追加のPython環境を用意しなくても起動できるため、拡散時の前提条件を減らす方向に働きます。 (Unit 42)

ただし、難読化は単に文字列を隠すだけではありません。Unit 42は、PyarmorがAES-128-CTR（Advanced Encryption Standard〈高度暗号化規格〉のCTRモード）を用いる点や、BCC（ByteCode-to-Compilation〈バイトコードのコンパイル化〉）モードにより一部関数がC相当の処理へ変換され得る点を示しています。そうすることによって、一般的な静的解析やシグネチャ（特徴パターン）検知だけでは、機能全体を追いにくい条件が作られます。 (Unit 42)

なお、Pyarmor自体は正当な用途（知的財産保護など）でも使われるため、「正規ツールの悪用」という整理が重要になります。この点から、単一のツール名で危険判定するよりも、実行形式の挙動、永続化の方法、外部送信の経路など、複数要素を束ねて判断材料にする必要が出ます。 (Unit 42)

Discordトークン窃取とインジェクションの流れ

VVS StealerはDiscordの「トークン」を軸に情報を集め、API問い合わせや追加のデータ収集へつなげる設計と説明されています。報道ベースでは、Discordが稼働中なら一度終了させたうえで、難読化されたJavaScriptを取得し、Chrome DevTools Protocol（Chrome開発者ツール用プロトコル、CDP）を使って通信の監視を行う、と整理されています。 (The Hacker News)

Discord側の情報取得は、保存場所（LevelDB〈レベルDB〉など）からのトークン抽出と、注入したJavaScriptによる追加収集が組み合わさる点が要点です。 (SC Media)

SC Media（SCWorld）の記事では、暗号化されたDiscordトークンがLevelDBディレクトリに保存され得る点、Local Stateファイル内のencrypted_keyをDPAPI（Data Protection API〈データ保護API〉）で復号して鍵を取り出す流れ、さらにDiscord APIのエンドポイントへ照会して利用者情報を取得する流れが記述されています。また、取得データはwebhook（ウェブフック）先へHTTP POSTで送信され、攻撃者側Discordチャンネルに集約され得る、とされています。 (SC Media)

この点を整理するため、処理段階と観測点を小さく分解すると、実務上の確認点が見えやすくなります。そのため、以下に最小限の形でまとめます。

続いて、収集カテゴリを並べると、Discordだけでなくブラウザ側の情報も同時に扱う設計が明確になります。なお、Unit 42および報道では、Chromium系とFirefoxのデータが対象に含まれる点が挙げられています。 (The Hacker News)

以上を踏まえると、単発のトークン取得だけでなく、注入コードと外部送信の組み合わせが、侵害後の継続的な情報回収へつながる設計になっています。 (SC Media)

永続化と偽エラー表示が支える運用面の成立条件

VVS Stealerは、WindowsのStartup folder（スタートアップフォルダ）へ自身を追加し、再起動後も自動起動する永続化を行うとされています。これは「一度の実行で終わらない」状態を作るための手段であり、収集と送信を繰り返す前提が見えます。 (The Hacker News)

他方、偽の「Fatal Error」ポップアップが表示され、再起動を促す文言が使われる点も報告されています。SCWorldの記事では、この種の表示がWin32 APIのMessageBoxW関数で実装され得ること、そして利用者を別操作へ誘導する役割を持ち得ることが述べられています。ここで重要なのは、偽表示そのものが情報を盗む直接手段ではなく、窃取処理の継続を成立させる“時間”を確保する部品として機能し得る点です。 (SC Media)

なお、同記事では、VVS Stealerがブラウザ情報を収集してZIPアーカイブにまとめ、Discord関連データと同様に外部へ送信し得る点も触れられています。そうすることによって、Discordに限定されない認証情報の持ち出しが成立し、侵害範囲が広がることがります。 (SC Media)

つまり、永続化・偽表示・複数カテゴリ収集は、単独では説明しにくいものの、運用としては一続きの構成要素になります。次の整理では、取得され得る情報の範囲が、どこまでアカウント悪用へつながるかが論点になります。

取得され得る情報と、組織側で論点になりやすい整理軸

Discordトークンが窃取された場合、攻撃者はDiscord APIを通じて利用者情報を取得し得る、と報告されています。SCWorldの記事では、ユーザーID、ユーザー名、メールアドレス、電話番号、支払い方法、MFA（Multi-Factor Authentication〈多要素認証〉）状態、IPアドレスなどが取得対象になり得る点が記述されています。これらは、アカウントの引き継ぎや決済悪用へ発展する余地があり、影響評価の判断材料として重要です。 (SC Media)

要点を整理すると、VVS Stealerは「トークン窃取→API照会→注入による追加収集→webhook送信」を連結し、Discordアカウントの継続的な悪用へつなげる設計です。 (SC Media)

一方で、外部送信先がwebhookである場合、通信先ドメインが必ずしも異常に見えない条件差が生じる可能性があります。つまり、遮断一択では整理できず、端末内の実行痕跡（Startup folderへの配置など）と通信挙動を突き合わせる必要が出ます。 (The Hacker News)

さらに、The Hacker Newsは別事例として、情報窃取型マルウェアで盗まれた管理者認証情報が、正規企業のインフラ悪用や配布の連鎖に使われ得る、という構図にも触れています。なお、この構図はVVS Stealer単体の機能説明とは別枠ですが、情報窃取が「次の侵害の土台」になり得る点を示す補助線になります。以上を踏まえると、VVS Stealerの分析は、個別マルウェアの話にとどまらず、認証情報の持ち出しが作る二次利用の連鎖まで含めて整理される傾向があります。 (The Hacker News)