Ах, здравоохранение Таиланда! Место, где лечат не только болезни, но и… компьютерные вирусы. Да-да, в мире кибербезопасности тоже есть свои «врачи», только вместо скальпеля у них – клавиатура, а вместо бинтов – антивирусное ПО. Недавно подразделение Seqrite Threat Research Unit обнаружило весьма изощренную вредоносную кампанию, которая решила устроить настоящий хаос в медицинской сфере этой солнечной страны.
Представьте себе: злодеи не просто рассылают спам с предложением купить волшебные таблетки от всех болезней, а запускают многоступенчатую операцию с RAR-архивами и хитро замаскированными скриптами. Это вам не шутки!
Начинается всё с того, что сотрудники Министерства здравоохранения Таиланда получают письма с заманчивыми заголовками вроде «Одобрено медицинское оборудование 2026» или «Срочный запрос на госпитализацию пациента». Тут можно вспомнить старый анекдот: доктор звонит коллеге и говорит — «Ты знаешь, мне сегодня пришло письмо от министерства с просьбой срочно госпитализировать пациента».
Коллега отвечает — «И что?» Доктор вздыхает — «А я даже не знаю, кто этот пациент, но теперь боюсь открыть вложение!» Вот так и наши герои — осторожность превыше всего.
Вредоносный архив RAR содержит зашифрованный batch-файл — это такой маленький пакетик сюрпризов для компьютера. Он запускает PowerShell (не путать с супергероем), который расшифровывает данные и начинает цепочку заражения. Если бы это было кино, то сценарист написал бы: «Герой открывает файл… и тут начинается магия!» На самом деле же это магия обфускации — когда код прячется так хорошо, что даже самый опытный аналитик начинает подозревать наличие тайного общества программистов-маскировщиков.
Далее злоумышленники используют GitHub как своего рода тайник для загрузки дополнительных компонентов вредоносного ПО.
Представьте себе: вы идёте в аптеку за лекарствами, а там на полках сидят хакеры в масках и тихо шепчутся о том, как лучше украсть ваши данные. В реальной жизни GitHub — это место для разработчиков поделиться кодом, а у них получился настоящий склад для преступлений.
Особенно забавно то, что атака использует локальную инфраструктуру Таиланда для подготовки своих злодеяний. Это примерно как если бы вор решил ограбить дом соседа при помощи инструментов из собственного сарая — удобно и эффективно! А ещё они применяют Python-скрипт под названием «sim.py», который действует как настоящий воришка: закрывает браузеры жертвы и крадёт все пароли и сессионные данные.
Можно представить себе этот скрипт в образе хитрого кота: тихо пробирается по клавиатуре и умыкает ваши секретики.
Конечно же, попытки передать украденные данные через Telegram оказались не совсем успешными из-за проблем с подключением. Видимо, даже злодеи иногда сталкиваются с плохим интернетом – сюрприз для всех нас! Но сам факт использования мессенджера для передачи данных показывает уровень продуманности атаки — ведь Telegram любят не только блогеры и котики с мемами.
В общем-то эта кампания напоминает сложный детективный сериал с множеством поворотов сюжета: социальная инженерия встречается с техническими ухищрениями; многоуровневые загрузчики переплетаются со скрытыми механизмами заражения; всё это вместе создаёт опасность для медицинских учреждений Таиланда.
Ведь сбой в работе больницы – это не просто неудобство, а вопрос жизни и смерти.