CSBracketVendorCardsStealer là định danh do CyStack đặt cho một bố cục thư mục nạn nhân CreditCards/, trong đó chứa một tệp thông tin xác thực cho mỗi cặp trình duyệt gốc Chromium / hồ sơ (profile), đặt tên mỗi tệp theo tên thư mục con vendor trong AppData/Local, được bọc trong dấu ngoặc vuông. Được quan sát bên trong !! 2025 JUNE.part001.rar tại CreditCards/ CreditCards_[AVAST Software]_Default.txt, cùng với các tệp/dấu vết liên quan CreditCards_[BraveSoftware]_Default.txt và CreditCards_[Microsoft]_Default.txt.
Các token vendor trong ngoặc vuông ([AVAST Software], [BraveSoftware], [Microsoft], [Google], [Yandex], v.v.) là bản sao nguyên văn của tên thư mục con nằm dưới AppData/Local/<Vendor>/, nơi các trình duyệt dẫn xuất từ Chromium lưu trữ cây User Data. Mã độc đánh cắp thông tin đọc bảng credit_cards trong SQLite Web Data của từng trình duyệt và ghi ra một tệp cho mỗi hồ sơ nguồn. Nội dung tệp thông tin xác thực sử dụng Exp: <MM/YYYY> để biểu thị ngày hết hạn. Nhiều tệp có nội dung tối giản (chỉ chứa ngày hết hạn, khoảng 12 byte) vì kỹ thuật vượt qua app-bound-encryption của panel chỉ lấy được PAN đã mã hóa nhưng không thể giải mã trên các bản Chrome sử dụng khóa phiên gắn với phần cứng.
Một bài viết công khai mô tả định dạng log mã độc đánh cắp thông tin đã ghi nhận quy ước đặt tên vendor trong ngoặc vuông ở các tệp/dấu vết liên quan Autofills/Google_[Chrome]_Default.txt / Autofills/Microsoft_[Edge]_Default.txt như một cấu trúc dữ liệu trích xuất thông tin xác thực Chromium mang tính tổng quát, được nhiều họ mã độc sử dụng (RedLine, META, Raccoon, Stealc đều xuất hiện trong cùng bài viết), nhưng không gắn cụ thể cấu trúc dữ liệu CreditCards_[<Vendor>]_<Profile>.txt này với một họ mã độc được nêu tên. Việc quy kết họ mã độc hiện chỉ mang tính tạm thời, chờ có bản đồ tình báo mối đe dọa được công bố cho bố cục này.
