Зброєні RAR-архіви використовуються для атаки на сектор охорони здоров’я Таїланду

SOC Prime Team

Стежити

Зброєні RAR-архіви використовуються для атаки на сектор охорони здоров’я Таїланду

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Цілеспрямована кампанія зі шкідливими програмами активно вражає сферу охорони здоров’я Таїланду через озброєні архіви RAR. Ці архіви містять обфусковані пакетні скрипти, які запускають багатоступеневий ланцюжок інфекції і, зрештою, запускають крадія інформації на основі Python. Шкідлива програма призначена для захоплення облікових даних браузера та cookies сесій, а потім ексфільтрує вкрадені дані через Telegram.

Розслідування

Лабораторія Seqrite виявила активне вікно кампанії, що тривала десять тижнів з квітня по червень 2026 року. Їх розслідування виявило складний ланцюжок виконання з використанням завантажувачів, обфускованих за допомогою Rouki, корисних навантажень, розміщених на GitHub, та стійкості, встановленої через папку автозапуску Windows. Аналітики також спостерігали спроби викрадення інформації з браузерів на базі Chromium та її відправку через API бота Telegram.

Пом’якшення

Організації повинні впроваджувати суворі контролі на виконання недовірених скриптів та двійкових файлів, отриманих з зовнішніх джерел. Тісний моніторинг несанкціонованих змін у папці автозапуску Windows є вкрай важливим. Команди безпеки також повинні обмежити доступ до файлохостингових та месенджерських сервісів, таких як GitHub та Telegram, якщо вони використовуються не схваленими процесами.

Відповідь

У разі виявлення інфекції респонденти повинні негайно ізолювати уражені кінцеві точки, щоб зупинити подальше викрадення даних. Судово-медичний аналіз повинен зосередитись на %TEMP% and AppData каталогах для виявлення вторинного корисного навантаження та пов’язаних артефактів. Історія браузера та сховища облікових даних повинні бути перевірені на наявність ознак компрометації, і повинен бути розпочатий процес скидання паролів для всіх потенційно уражених користувачів.

"graph TB %% Class Definitions Section classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef persistence fill:#ccffcc classDef exfiltration fill:#ffccff %% Node Definitions action_phishing["Дія – T1566.001 Фішинг: Прикріплення фішингу-цілей Опис: Листи на тему охорони здоров’я, що містять шкідливі архіви RAR, на кшталт Health_Ministry_Approved_Equipment_2026.rar"] class action_phishing action action_user_exec["Дія – T1204.002 Виконання користувачем: Шкідливий файл Опис: Жертва відкриває архів і запускає вбудований шкідливий пакетний скрипт"] class action_user_exec action tool_powershell["Інструмент – Назва: PowerShell Техніка – T1059.001 Інтерпретатор команд і скриптів: PowerShell Опис: Використовується для декодування вбудованого контенту та ініціювання завантаження наступних етапів"] class tool_powershell tool action_ingress["Дія – T1105 Передача інструменту входу Опис: Використовуючи PowerShell і curl для завантаження вторинних корисних навантажень з репозиторіїв, розміщених на GitHub"] class action_ingress action malware_persistence["Дія – T1547.001 Автозапуск при завантаженні чи вході: Ключі автозапуску реєстру / папка автозапуску Опис: Шкідливий пакетний файл WindowSecuryt.bat розміщено в каталозі автозавантаження Windows для забезпечення стійкості"] class malware_persistence persistence action_elevation["Дія – T1548 Зловживання механізмом контролю підвищення Опис: Вторинний пакетний корисний вантаж u-t2.bat намагається пере-запустити себе з підвищеними правами"] class action_elevation action malware_stealer["Шкідлива програма – Назва: sim.py Опис: Викрадач інформації на основі Python, призначений для збору конфіденційних даних"] class malware_stealer malware action_credentials["Дія – T1555.003 Облікові дані з веб-браузерів Опис: Припиняє процес браузера для збору облікових даних, cookies та артефактів сесій"] class action_credentials action action_archive["Дія – T1560 Архівування зібраних даних Опис: Викрадені дані стискаються у ZIP-архіви для ефективного збору"] class action_archive action action_exfiltration["Дія – T1567 Екфільтрація через веб-сервіс Опис: Передає зібрані дані на канали Telegram, контрольовані атакувальником, через API бота Telegram"] class action_exfiltration exfiltration %% Connections Section %% Атака починається з фішингу action_phishing –>|приводить до| action_user_exec %% Виконання користувачем запускає інтерпретатор action_user_exec –>|запускає| tool_powershell %% PowerShell виконує вхід tool_powershell –>|виконує| action_ingress %% Вхід приносить механізм стійкості action_ingress –>|завантажує| malware_persistence %% Стійкість призводить до спроб підвищення action_elevation –>|ініціює| malware_persistence %% Підвищення призводить до розгортання викрадача action_elevation –>|розгортає| malware_stealer %% Викрадач виконує збір облікових даних malware_stealer –>|виконує| action_credentials %% Збір приводить до архівування action_credentials –>|пливає на| action_archive %% Архівування приводить до остаточної екфільтрації action_archive –>|сприяє| action_exfiltration "

Потік атаки

Наратив атаки і команди: Зловмисник вдало здобув початковий доступ і розмістив викрадача інформації на основі Python під назвою sim.py у C:UsersPublicDesktopsLib. Мета полягає в зборі облікових даних з Chrome і Edge. Щоб уникнути блокувань бази даних профілю користувача, атакуючий виконує скрипт Python і одразу ж запускає taskkill команди для завершення процесів браузера. Ця послідовність запланована на наслідування автоматизованої поведінки шкідливого програмного забезпечення.

Скрипт тестування регресії:

# 1. Налаштуйте середовище (Імітуйте сліди атакуючого)
$targetDir = "C:UsersPublicDesktopsLib"
if (!(Test-Path $targetDir)) { New-Item -Path $targetDir -ItemType Directory -Force }
$scriptPath = "$targetDirsim.py"
"print('Викрадаю дані...')" | Out-File -FilePath $scriptPath -Encoding utf8

# 2. Виконати "Зловмисний" скрипт Python (Тригер вибору 1)
Write-Host "Виконую скрипт Python..."
Start-Process "python.exe" -ArgumentList "`"$scriptPath`"" -Wait

# 3. Виконати команди Taskkill (Тригер вибору 2)
Write-Host "Виконую команди taskkill..."
$browsers = @("chrome.exe", "edge.exe", "brave.exe", "chromium.exe")
foreach ($browser in $browsers) {
    Start-Process "taskkill.exe" -ArgumentList "/IM", $browser, "/F" -ErrorAction SilentlyContinue
}

Команди очищення:

# Видалити файли з імітованим шкідливим програмним забезпеченням та каталог
Remove-Item -Path "C:UsersPublicDesktopsLib" -Recurse -Force

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно