VVS Stealer: PyArmor Obfuskasiyası ilə Statik Analizi Necə Yan Keçir və İmzadan Necə Yayınır

Kibermüdafiə mənzərəsi, qanuni inkişaf alətlərini zərərli niyyətlərini maskalamaq üçün istifadə edən sofistikləşmiş zərərli proqramların artmasına şahidlik edir. Bu təhdidlərin ən bariz nümunələrindən biri VVS Stealer (bəzən VVS $tealer kimi də təqdim olunur) adlı Python əsaslı məlumat oğrusudur.

2025-ci ilin aprel ayından etibarən Telegram platformasında aktiv şəkildə bazara çıxarılan bu zərərli proqram, xüsusilə Discord istifadəçilərini hədəf alır. Onun əsas məqsədi həssas etibarnamələri, tokenləri və brauzer məlumatlarını çıxarmaqdır. VVS Stealer-in ən vacib xüsusiyyəti, kodu gizlətmək üçün PyArmor adlı rəsmi Python skript obfuskasiya vasitəsindən istifadə etməsidir ki, bu da onu ənənəvi təhlükəsizlik nəzarətləri üçün demək olar ki, görünməz edir.

Texniki Detallar: PyArmor-un Gizlətmə Mexanizmləri

Palo Alto Networks tərəfindən aparılan təhlillərə görə, zərərli proqram müəllifləri istifadə rahatlığına görə Python-a üstünlük verirlər, lakin Python kodunun asan oxunması təhlükəsizlik analitikləri üçün əlverişli şərait yaradır. VVS Stealer bu maneəni aşmaq üçün PyArmor (xüsusilə 9.1.4 Pro versiyası) istifadə edərək yükünü (payload) yüksək səviyyədə şifrələyir.

PyArmor VVS Stealer-i təhlil üçün çətinləşdirən bir sıra əsas dəyişikliklər tətbiq edir:

• Bytecode Şifrələməsi (Bytecode Encryption): Standart Python kodunu ixtisaslaşdırılmış, şifrələnmiş formata çevirir. Nəticədə standart dekompilyatorlar kodu oxuya bilmir.
• BCC Rejimi (C Funksiyalarına Konversiya): Əsas Python funksiyalarını C funksiyalarına çevirir və daha sonra maşın təlimatlarına tərtib edir. Bu, məntiqi ayrı bir ELF (Executable and Linkable Format) faylında gizlədir, tərsinə mühəndisliyi (reverse engineering) əhəmiyyətli dərəcədə çətinləşdirir.
• AES Şifrələməsi: Zərərli proqram sətirləri (stringlər) və bytecode-u şifrələmək üçün 128-bit açarla Əks Sayğac (CTR) rejimində Təkmil Şifrələmə Standartından (AES) istifadə edir. Bu, Komanda və Nəzarət (C2) URL-ləri kimi kritik sətirlərin təhlilçilər tərəfindən birbaşa oxunmasının qarşısını alır.

PyArmor-un tətbiq etdiyi qoruyucu qatları aradan qaldırmaq üçün təhlükəsizlik tədqiqatçıları çoxmərhələli deobfuskasiya prosesini həyata keçirməlidirlər. Bu proses PyInstaller paketindən şifrələnmiş Python bytecode-u və PyArmor-un runtime kitabxanasını çıxarmağı, daha sonra PyArmor şifrələmə açarlarını (adətən runtime DLL daxilində tapılır) tərsinə mühəndisliklə aşkar etməyi tələb edir. Yalnız bu addımlardan sonra kodu insan tərəfindən oxuna bilən formata dekompilyasiya etmək mümkündür.

Təhlükənin Miqyası: VVS Stealer-in Fəaliyyət İmkanları

VVS Stealer deobfuskasiya edildikdən sonra onun aqressiv məlumat oğurluğu xüsusiyyətləri aşkara çıxır. Bu zərərli proqram Discord istifadəçilərinə qarşı xüsusilə dağıdıcı funksiyaları özündə cəmləşdirir:

• Discord Token Oğurluğu: Zərərli proqram yerli faylları (.ldb və .log) skan edərək şifrələnmiş Discord tokenlərini tapır. Daha sonra onları Windows DPAPI (Data Protection API) vasitəsilə deşifrə edir və ödəniş metodları, dost siyahıları və telefon nömrələri kimi istifadəçi detallarını toplamaq üçün Discord API-yə sorğular göndərir.
• Sessiya İnyeksiyası: O, işləyən Discord proseslərini dayandırır və tətbiqə zərərli JavaScript (standart JS alətləri vasitəsilə obfuskasiya olunmuş) yeridir. Bu inyeksiya hücum edənin aktiv sessiyaları ələ keçirməsinə, şəbəkə trafikini izləməsinə və ya şifrə dəyişikliklərini qeydə almasına imkan verir.
• Brauzer Məlumatlarının Çıxarılması: VVS Stealer Chrome, Edge və Opera daxil olmaqla, təxminən 20 müxtəlif veb brauzeri hədəf alır. Bu brauzerlərdən kukilər (cookies), tarixçə və avtomatik doldurma şifrələrini oğurlayır.
• Qalıcılıq və Maskalanma: Zərərli proqram özünün nüsxəsini Windows Başlanğıc qovluğuna (Startup folder) kopyalayaraq qalıcılığı təmin edir. Qurbanın diqqətini yayındırmaq üçün isə kompüteri yenidən başlatmağı tələb edən saxta “Fatal Error” (Ölümcül Xəta) mesaj pəncərəsi göstərir.

Tövsiyələr və Həll Yolları

VVS Stealer-in taktikaları göstərir ki, təhdid aktyorları müdafiə müddətini uzatmaq üçün qanuni mühafizə alətlərini (PyArmor kimi) necə silahlandırmağı öyrəniblər. Bu, təhlükəsizlik vendorlarının aşkaretmələri inkişaf etdirməsi üçün lazım olan vaxtı artırır.

Təşkilatlar və fərdi istifadəçilər bu tip obfuskasiya olunmuş təhlükələrə qarşı müdafiə mexanizmlərini yenidən qiymətləndirməlidirlər:

• Davranış Analizinə Fokuslanma: Yalnız statik imzalara etibar etmək əvəzinə, zərərli proqramların fəaliyyətini (məsələn, DPAPI istifadəsi, fayl sistemindəki qeyri-adi dəyişikliklər, proseslərin inyeksiyası) aşkar edən qabaqcıl davranış analizindən və Endpoint Detection and Response (EDR) həllərindən istifadə edilməlidir.
• Token Mühafizəsi: Discord istifadəçiləri iki faktorlu autentifikasiyanı (2FA) aktivləşdirməli və etibarsız tokenlərin qarşısını almaq üçün vaxtaşırı sessiyaları ləğv etməlidirlər.
• Zərərli Proqram Analizi: Təhlükəsizlik komandaları PyArmor kimi obfuskasiya alətlərinin runtime mexanizmlərini əks mühəndisliklə öyrənməli və bu qoruyucu qatları sistemli şəkildə sökə biləcək vasitələr hazırlamalıdırlar.

Nəticə

VVS Stealer kiberməkanda rəqəmsal müdafiəçilər və hücum edənlər arasındakı daim inkişaf edən yarışı təcəssüm etdirir. PyArmor kimi proqram mühafizəsi alətlərinin kiber cinayətkarlar tərəfindən mənimsənilməsi, təhlükəsizlik sənayesini yeni nəsil obfuskasiya üsullarına qarşı daha çevik və davranış əsaslı aşkaretmə strategiyalarına keçməyə məcbur edir. Bu cür texniki təhlillərin aparılması, rəqəmsal ekosistemimizi qorumaq üçün kritik əhəmiyyət kəsb edir.