PupyRAT -- pupy:// Protokol URL, _pupy._pupy.error Dahili Modüller, memfd_is_supported Linux Bellek-İçi Çalışma, CPython Gömülü | Kritik

Dosya Kimliği

pupy:// Protokol URL Şeması

pupy://        -- PupyRAT özel URL protokolü
_pupy          -- PupyRAT dahili modülü
_pupy.error    -- PupyRAT hata modülü
incompatible version  -- versiyon uyumsuzluğu hatası
-- "pupy://" = PupyRAT C2 bağlantı URL'si (ssh://, http:// gibi)
-- Özel protokol: PupyRAT C2 sunucusuna özgü şema
-- "_pupy" modülü: Python paketinde özel prefix ile saklanmış
-- "_pupy.error": exception handling modülü
-- Karakteristik imza: yalnızca PupyRAT binary'lerinde bulunur

memfd_is_supported: Linux Bellek-İçi Çalışma

memfd_is_supported
-- "memfd" = Linux Memory File Descriptor (bellek dosya tanımlayıcı)
-- Kernel 3.17+: memfd_create() syscall ile anonim bellek bölgesi
-- Disk'e hiçbir şey yazılmıyor → forensik iz yok!
-- PupyRAT: memfd ile tüm payload RAM'de çalışıyor
-- "memfd_is_supported" = sistem bu özelliği destekliyor mu kontrol
-- AV bypass: dosya yok → imza tarama yapılamaz
-- Sadece Linux: Windows'ta benzer teknik = Process Hollowing

CPython Gömülü: PyArg + PyImport C Uzantıları

PyArg_ParseTupleAndKeywords  -- Python C extension argüman parse
PyImport_ImportMod[ule]      -- Python modülü dinamik yükleme
-- PupyRAT: tam Python yorumlayıcısını binary içine gömmüş
-- "PyArg_ParseTupleAndKeywords" = C uzantısında Python argümanlarını al
-- PyImport_ImportModule = çalışma zamanında modül yükle
-- Gömülü CPython: hedef sistemde Python kurulu olmak zorunda değil
-- Yetenekler: tüm Python kütüphaneleri → sniffing, keylogging, pivoting

IOC