CSBabaCloudStealer là định danh do CyStack đặt cho một System_Info.txt có cấu trúc dữ liệu giống Vidar, được đối tượng vận hành kênh Telegram @BabaCloud_New phát tán. Các thư mục nạn nhân tuân theo cấu trúc @BabaCloud_New {<seq>} [<CC>]_<IPv4>_ <HWID8>_<DDMMYYYY>_<HHMMSS> và được đóng gói bên trong các tệp nén có tên @BabaCloudNew { <count> } Logs Cloud <DDMMYYYY>.rar.
Phần nội dung mang theo phần mở đầu định danh chuẩn của Vidar (MachineID, GUID, HWID, Path, Work Dir, Windows, Computer Name, User Name, Display Resolution) cùng với bộ năm trường phần cứng chuẩn của Vidar (Processor, Cores, Threads, RAM, VideoCard) mà các báo cáo công khai ghi nhận là lược đồ riêng của Vidar từ bản dựng 4.x trở lên. Bản đổi thương hiệu này đã loại bỏ Version, Install date, AV, Display Language, Keyboard Languages, Local Time, TimeZone, cùng các phần [Processes] và [Software] ở cuối.
Các khác biệt đáng chú ý trong cách trình bày so với nội dung Vidar chuẩn: mọi trường đều dùng dạng có khoảng trắng trước dấu hai chấm (Key : Value), thời điểm thu thập theo đồng hồ hệ thống được tách thành hai dòng Date : và Time : liền kề thay vì gộp thành một giá trị duy nhất, khối phần cứng được mở đầu bằng tiêu đề đóng khung bằng dấu gạch ngang --- [ Hardware ] --- thay vì tiêu đề dấu ngoặc vuông trần [Hardware], và các nạn nhân không có đường dẫn mang dấu hiệu nhận biết dạng YAML block-scalar Path : >-. Biểu ngữ khung viền là một khối dấu mũ được kẹp giữa các dấu ngoặc nhọn, quảng cáo Main Channel - @Baba_Logs, Public Logs Channel : @BabaCloud_New, Public Ulp Channel : @BabaUlp_New, và Admin : @Mr_Ghost_004 nằm giữa hai đường kẻ ngang.
Các báo cáo công khai xác nhận @BabaCloud_New là một hoạt động log đám mây phát tán qua Telegram, đã phát hành nhiều lượt rò rỉ thông tin xác thực với hàng nghìn bản ghi kể từ giữa năm 2025, nhưng không nêu rõ tên họ panel nền tảng. Việc quy kết về Vidar ở đây được suy ra từ phần mở đầu định danh cùng bộ năm trường phần cứng - một tổ hợp mang tính chuẩn của Vidar - và được giữ ở mức độ tin cậy trung bình cho đến khi có ánh xạ đổi thương hiệu rõ ràng.
Tên theo dõi này không liên quan đến hồ sơ CSBabaStealer, vốn đề cập đến một bản đổi thương hiệu từ Lumma .B.A.B.A. được phát tán bởi một đối tượng vận hành khác; chuỗi ký tự Baba chung trong tên gọi chỉ là sự trùng hợp ngẫu nhiên.
