Vidar

Description

Vidar is an information stealer sold as a subscription service that targets credentials, browser data, and cryptocurrency wallets on infected systems. Its operators distribute it through phishing, fake software downloads, and loader chains, and its regular updates add evasion and collection features. The family shares infrastructure and relationships with other major stealers, and its stolen data feeds credential markets and account takeover operations.

Stats

First seen: May 2022
Last seen: October 2026

Also known as

VidarStealer

Alert name variants

Alert Name	Engine
ByteCode-MSIL.Spyware.Vidar	ATP Sandbox Adv. Heuristics
ByteCode-MSIL.Trojan.Vidar	ATP Sandbox Adv. Heuristics
DOS.Trojan.Vidar	ATP Sandbox Adv. Heuristics
Dump:Generic.Vidar.A.C16DC869	AV
Gen:Variant.Vidar.1019	AV
Gen:Variant.Vidar.1035	AV
Gen:Variant.Vidar.1067	AV
Gen:Variant.Vidar.1083	AV
Gen:Variant.Vidar.1225	AV
Gen:Variant.Vidar.13	AV
Gen:Variant.Vidar.1385	AV
Gen:Variant.Vidar.141	AV
Gen:Variant.Vidar.16	AV
Gen:Variant.Vidar.188	AV
Gen:Variant.Vidar.20	AV
Gen:Variant.Vidar.48	AV
Gen:Variant.Vidar.54	AV
Gen:Variant.Vidar.55	AV
Gen:Variant.Vidar.559	AV
Gen:Variant.Vidar.62	AV
Gen:Variant.Vidar.65	AV
Gen:Variant.Vidar.735	AV
Gen:Variant.Vidar.79	AV
Gen:Variant.Vidar.82	AV
Gen:Variant.Vidar.83	AV
Gen:Variant.Vidar.85	AV
Gen:Variant.Vidar.860	AV
Generic.PWSH.Vidar.A.86F5F48F	AV
Generic.PWSH.Vidar.A.C6AC4B03	AV
Generic.PWSH.Vidar.A.E66F4E39	AV
Generic.PWSH.Vidar.B.B4B58821	AV
Generic.PWSH.Vidar.B.FD1FF90C	AV
Generic.Vidar.A.157C994B	AV
Generic.Vidar.A.1CE922B3	AV
Generic.Vidar.A.5D0F637B	AV
IL:Trojan.Vidar.685	AV
Script-PowerShell.Trojan.Vidar	ATP Sandbox Adv. Heuristics
Trojan.Vidar.18	AV
Trojan.Vidar.19	AV
Trojan.Vidar.25	AV
Trojan.Vidar.26	AV
Trojan.Vidar.28	AV
Trojan.Vidar.50	AV
Trojan.Vidar.808	AV
Trojan.Vidar.935	AV
Win32.Downloader.VidarStealer	ATP Sandbox Adv. Heuristics
Win32.Exploit.Vidar	ATP Sandbox Adv. Heuristics
Win32.Infostealer.Vidar	ATP Sandbox Adv. Heuristics
Win32.Infostealer.VidarStealer	ATP Sandbox Adv. Heuristics
Win32.Ransomware.Vidar	ATP Sandbox Adv. Heuristics
Win32.Spyware.Vidar	ATP Sandbox Adv. Heuristics
Win32.Trojan.Vidar	ATP Sandbox Adv. Heuristics
Win32.Trojan.VidarStealer	ATP Sandbox Adv. Heuristics
Win64.Infostealer.Vidar	ATP Sandbox Adv. Heuristics
Win64.Malware.Vidar	ATP Sandbox Adv. Heuristics
Win64.Spyware.Vidar	ATP Sandbox Adv. Heuristics
Win64.Trojan.Vidar	ATP Sandbox Adv. Heuristics
Win64.Trojan.VidarStealer	ATP Sandbox Adv. Heuristics

Related IPS Signatures

Signature Name	Engine
MALWARE-CNC UNC6849.Vidar.C2 output traffic detected	IPS-SWG
MALWARE-CNC VIDAR.Generic.Beacon traffic detected	IPS-SWG
MALWARE-CNC Win.Trojan.Vidar download attempt	IPS-SWG

Related blogs

$Sandbox process tree for the Underground loader, showing an injected dllhost.exe launching chrome.exe and msedge.exe and staging stolen cookies under C:\ProgramData\Underground, before a second dllhost.exe deletes that folder.$