Arquivos RAR Armados Usados para Alvejar o Setor de Saúde da Tailândia

Resumo

Uma campanha de malware direcionada está atingindo ativamente o setor de saúde da Tailândia por meio de arquivos RAR armados. Esses arquivos contêm scripts em lote ofuscados que desencadeiam uma cadeia de infecção em múltiplas etapas e, por fim, executam um ladrão de informações baseado em Python. O malware é projetado para capturar credenciais do navegador e cookies de sessão, exfiltrando os dados roubados por meio do Telegram.

Investigação

O Seqrite Lab identificou uma janela de campanha ativa de dez semanas de abril a junho de 2026. Sua investigação revelou uma complexa cadeia de execução envolvendo carregadores ofuscados por Rouki, cargas hospedadas no GitHub e persistência estabelecida através da pasta de Inicialização do Windows. Os analistas também observaram tentativas de roubar informações de navegadores baseados em Chromium e enviá-las através da API do Bot do Telegram.

Mitigação

As organizações devem impor controles rígidos sobre a execução de scripts e binários não confiáveis obtidos de fontes externas. O monitoramento cuidadoso de alterações não autorizadas na pasta de Inicialização do Windows é essencial. As equipes de segurança também devem restringir o acesso a serviços de hospedagem de arquivos e mensagens, como GitHub e Telegram, quando usados por processos não aprovados.

Resposta

Se a infecção for detectada, os respondedores devem isolar imediatamente os terminais afetados para interromper o roubo de dados. A análise forense deve focar nos %TEMP% and AppData diretórios para identificar cargas secundárias e artefatos relacionados. O histórico do navegador e os armazenamentos de credenciais devem ser revisados para sinais de comprometimento, e um processo de redefinição de senha deve ser iniciado para todos os usuários potencialmente afetados.

Execução de Simulação

Pré-requisito: O Check de Pré-voo de Telemetria e Linha de Base deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visa gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a diagnósticos incorretos.

• Narrativa do Ataque & Comandos: O adversário obteve com sucesso acesso inicial e soltou um ladrão de informações baseado em Python chamado sim.py em C:UsersPublicDesktopsLib. O objetivo é colher credenciais do Chrome e Edge. Para evitar bloqueios de banco de dados no perfil do usuário, o atacante executa o script em Python e imediatamente executa comandos taskkill para encerrar os processos do navegador. Essa sequência é projetada para imitar o comportamento automatizado do malware.

• Script de Teste de Regressão:

  # 1. Configure o ambiente (Simule a pegada do atacante)
  $targetDir = "C:UsersPublicDesktopsLib"
  if (!(Test-Path $targetDir)) { New-Item -Path $targetDir -ItemType Directory -Force }
  $scriptPath = "$targetDirsim.py"
  "print('Roubando dados...')" | Out-File -FilePath $scriptPath -Encoding utf8
  
  # 2. Execute o script Python "Malicioso" (Acione a Seleção 1)
  Write-Host "Executando script Python..."
  Start-Process "python.exe" -ArgumentList "`"$scriptPath`"" -Wait
  
  # 3. Execute comandos Taskkill (Acione a Seleção 2)
  Write-Host "Executando comandos taskkill..."
  $browsers = @("chrome.exe", "edge.exe", "brave.exe", "chromium.exe")
  foreach ($browser in $browsers) {
      Start-Process "taskkill.exe" -ArgumentList "/IM", $browser, "/F" -ErrorAction SilentlyContinue
  }

• Comandos de Limpeza:

  # Remova os arquivos de malware simulados e o diretório
  Remove-Item -Path "C:UsersPublicDesktopsLib" -Recurse -Force