Vanta Stealerは、Pythonベースでクロスプラットフォーム対応の情報窃取マルウェアです。PyInstallerでパッケージ化された実行ファイルの上にさらに多層のPyArmor難読化を施し、ブラウザに保存されたパスワード、暗号資産ウォレットのデータ、Discordトークン、ゲームアカウント、VPN設定、機密文書などを窃取します。
Vanta Stealerは、モジュール化された保守性の高いマルウェアへとシフトしている昨今の傾向を象徴する存在であり、リバースエンジニアリングを妨害するためにPyArmorのような商用の保護フレームワークを悪用しています。
分析対象のサンプルは、Visual Studio 2022でコンパイルされた64ビットPE（Windows Vistaサブシステム向け）で、その後PyInstallerでラップされています。PyInstallerはPythonランタイムと必要なモジュール一式を単一の実行ファイルに埋め込む仕組みです。
Detect It Easyによる静的解析では、大規模なPyInstaller CArchiveが確認されました。分析者はpyinstxtractorを用いて、そこから216個の埋め込みファイルとエントリポイントとなるmain.pycを復元し、標準的なPyInstallerパッケージング手順であることを裏付けています。
main.pycを逆コンパイルしても可読なソースコードは得られません。代わりにpyarmor_runtime_000000からのインポートと_pyarmor_の呼び出し、さらにPyArmorが実行時に復号する大規模な暗号化バイト文字列のペイロードが確認できます。
この設計により、分析者は意味のあるコードレビューを行う前にまずPyArmorを突破する必要に迫られます。これは、コモディティ化したソフトウェア保護技術が、現代の情報窃取マルウェアにおいて解析対抗レイヤーとして転用されている実態を如実に示しています。
難読化を解除すると、このマルウェアは「収集→パッケージ化→識別→窃取」という明確な段階を踏むモデルを備えていることが分かります。これは、侵害した端末1台1台から得られる価値を最大化するように設計されたものです。
Anti-malwaresoftware
Vanta Stealerは、ブラウザからの情報窃取ロジックを直接組み込むのではなく、実行時に専用のブラウザ認証情報抽出ツールを動的に取得します。
このモジュール方式により、攻撃者はメインペイロードとは独立してブラウザ情報窃取機能を更新でき、実行ファイル一式を再配布する必要性が減るほか、静的シグネチャによる検知を困難にしています。
ブラウザモジュールの実行後、コア部分のスティーラーはDiscord、Telegramデスクトップ版、Steam、Riot/Valorant、Roblox、Minecraft、Mullvad VPN、ローカルの暗号資産ウォレットを対象とした追加の収集処理を統括するほか、スクリーンショットやウェブカメラの映像キャプチャ、シードフレーズや秘密鍵を含む文書の収集も行います。
Point Wild Threat Intelligenceは、PyArmor Static Unpack（OneShot）を活用してPyArmorのレイヤーを剥ぎ取り、main.pycの元のPythonバイトコードを復元しました。これにより、Vanta Stealerの実行フロー、各モジュール、データフローの全体像を完全に再構築することに成功しています。
Vanta Stealerの大きな特徴の一つが、Discordアカウントのプロファイリング段階です。このマルウェアは、生のDiscordトークンをただ窃取するだけでは終わりません。各トークンをDiscord APIに対して検証し、紐づくユーザー名、メールアドレス、電話番号、ユーザーID、Nitroサブスクリプションの契約状況、登録済みの支払い方法、サーバーの管理者権限までを取得します。
このエンリッチメント処理により、単なるトークンが被害者に関する高精度なプロファイルへと変わり、攻撃者は金銭的価値の高いアカウントや高い権限を持つアカウントを迅速に優先付けできるようになります。
Vanta StealerによるPyArmorの悪用
これと並行して、Vanta Stealerは専用モジュールを呼び出し、Steamの関連情報、Robloxのセッションデータ、Mullvad VPNの設定情報、Valorant/Riot Gamesのデータ、そしてディスク上で発見した機密ファイルを収集します。
ブラウザのパスワードやCookie、保存済みのカード情報、ゲームアカウント、暗号資産ウォレットファイル、Telegramのデータ、スクリーンショット、Minecraftのデータ、各種文書など、収集されたすべての情報は構造化されたオブジェクトへと正規化され、集約パッケージ化と窃取に向けた準備が整えられます。
窃取に先立ち、Vanta StealerはSummary.txtというレポートを生成し、侵害したシステムの詳細な棚卸しを行います。具体的には、ブラウザの認証情報、Cookie、クレジットカード、Discordのトークン・アカウント、Steamファイル、ウォレット、Robloxおよび Telegramの関連データ、スクリーンショット、VPN設定、Valorantファイル、機密文書それぞれの件数を記録します。
このサマリーにより、攻撃者はすべての収集物を手作業で確認することなく、価値の高い侵害先を素早く選別できます。
その後、スティーラーはcreate_complete_zip()を呼び出し、システム情報、ブラウザデータ、Discordのプロファイル、ゲームプラットフォームの関連情報、VPN設定、暗号資産ウォレット、機密ファイル一式をまとめた単一のZIPアーカイブを生成します。
Securedata storage
被害者固有の識別子（userId）、ユーザー名、実行モード（hitType）といったメタデータフィールドも付加されるため、バックエンド側の攻撃者は各アーカイブを特定の被害者やキャンペーンに紐づけて管理できます。
最終的に、アーカイブとメタデータはHTTP POSTを通じてハードコードされたC2エンドポイントにアップロードされます。成功時（HTTP 200）とアップロードサイズ超過時（HTTP 413）それぞれに対する明示的なレスポンス処理が実装されており、アップロード上限や運用テレメトリを備えた管理されたバックエンドの存在がうかがえます。
分析対象のサンプルには初期侵入の手口自体は組み込まれていませんが、そのパッケージ構成と標的の顔ぶれからは、ソーシャルエンジニアリングを用いた誘導、すなわちトロイの木馬化したインストーラー、クラック版ソフトウェア、ゲームチート・MOD、偽のアップデート、汚染されたリポジトリ、SEOやマルバタイジングを用いたキャンペーンなどを通じて、利用者に「正規」に見えるPython実行ファイルを実行させる手口が強く示唆されます。
このパターンは、同様にDiscordトークンやブラウザデータを標的としつつ静的検知の回避に商用難読化を活用する、VVS Stealerなど最近登場した他のPyArmor・PyInstallerベースのスティーラーとも一致しています。
多層的なPyArmor難読化、モジュール化されたPythonアーキテクチャ、実行時に取得する認証情報抽出ツール、そしてエンリッチメントされた被害者プロファイリングを組み合わせることで、Vanta Stealerは現代の情報窃取マルウェアが単純な認証情報窃取の域を超えて進化していることを浮き彫りにしています。
Point Wildによる分析は、防御担当者や研究者に対してこうした手口の詳細な見取り図を提供するものであり、不審なPyInstaller実行ファイルや難読化されたPythonランタイムの痕跡を監視する必要性を改めて示しています。
2026年版Agentic SOC購入ガイドを活用すべき理由とは？主要8プラットフォームを徹底比較 – 2026年版購入ガイドをダウンロード
翻訳元: https://gbhackers.com/vanta-stealer-uses-pyarmor/
