PowMixi botnet

Küberturvalisuse uurijad on tuvastanud Tšehhi Vabariigis tööjõu vastu suunatud pahatahtliku kampaania, mis on kestnud vähemalt alates 2025. aasta detsembrist. Selle operatsiooni keskmes on varem dokumenteerimata botnet nimega PowMix. See oht on loodud traditsiooniliste tuvastusmehhanismide vältimiseks, vältides püsivaid ühendusi oma juhtimis- ja kontrolliinfrastruktuuriga (C2), tuginedes selle asemel juhuslikele suhtlusmustritele.

Varjatud suhtlus: täiustatud C2-eest põgenemise tehnikad

PowMix kasutab keerukaid meetodeid, et võrgukeskkondades märkamatuks jääda. C2-serveritega pideva ühenduse hoidmise asemel kasutab see PowerShelli käskude abil genereeritud juhuslikke märguandeintervalle. Need intervallid jäävad algselt vahemikku 0 kuni 261 sekundit ja hiljem pikenevad vahemikku 1075 kuni 1450 sekundit, häirides tõhusalt ennustatavaid liiklusmustreid.

Lisaks manustab botnet krüpteeritud südamelöökide andmeid ja unikaalseid ohvri identifikaatoreid otse C2 URL-i teedesse, matkides seaduslikku REST API liiklust. See disain võimaldab pahavaral sujuvalt sulanduda tavalise võrgusuhtlusega. Botnet suudab ka oma C2 domeeni dünaamiliselt oma konfiguratsioonifaili kaudu värskendada, tagades tegevuse järjepidevuse isegi siis, kui infrastruktuur muutub.

Nakkusahel: mitmeastmeline juurutamisstrateegia

Rünnak algab pahatahtliku ZIP-arhiiviga, mida levitatakse tavaliselt andmepüügikirjade kaudu. Pärast arhiivi avamist käivitab see hoolikalt korraldatud mitmeastmelise nakatumisprotsessi:

• Windowsi otsetee (LNK) fail käivitab käivitamise
• PowerShelli laadur ekstraheerib ja dekrüpteerib manustatud kasuliku sisu
• Pahavara käivitatakse otse mälus, minimeerides ketta artefakte

See failideta täitmisviis vähendab oluliselt tavapäraste turvatööriistade abil tuvastamise tõenäosust.

Võimed ja püsivuse mehhanismid

PowMix on loodud mitmekülgse kaugjuurdepääsu tööriistana, mis võimaldab ründajatel teostada luuret, käivitada suvalist koodi ja säilitada pikaajalist kontrolli ohustatud süsteemide üle. Püsivus saavutatakse ajastatud ülesannete loomise abil, tagades, et pahavara jääb aktiivseks ka süsteemi taaskäivitamisel.

Töö stabiilsuse säilitamiseks kontrollib pahavara protsessipuud, et vältida mitme eksemplari samaaegset töötamist samal hostil.

Käskude täitmise raamistik: paindlik juhtimisarhitektuur

Botnet toetab C2 serverist väljastatavaid käske peamiselt kahes kategoorias. Selle käitumise määrab serveri vastuse vorming:

Käsklused ilma eesliiteta '#' käivitavad suvalise täitmisrežiimi, ajendades pahavara vastuvõetud koormusi dekrüpteerima ja käivitama.

Spetsiaalsed käsud hõlmavad järgmist:

#KILL: Käivitab enesekustutuse ja eemaldab kõik pahatahtliku tegevuse jäljed

#HOST: Värskendab botneti C2-serveri aadressi suhtluse jätkamiseks

See paindlik käskude struktuur võimaldab operaatoritel pahavara käitumist reaalajas kohandada.

Sotsiaalse manipuleerimise kiht: peibutusdokumendid tähelepanu kõrvalejuhtimiseks

Tõhususe suurendamiseks hõlmab kampaania sotsiaalse manipuleerimise taktikaid. Ohvritele esitatakse peibutusdokumente, millel on vastavusega seotud teemad, mis on loodud seadusliku mulje jätmiseks. Need dokumendid viitavad tuntud kaubamärkidele nagu Edeka ja sisaldavad lisaks seaduslikele viidetele ka hüvitiste üksikasju. Selliste elementide eesmärk on luua usaldust ja petta sihtmärke, eriti tööotsijaid, pahatahtliku sisuga suhtlema.

Taktikaline kattumine: lingid ZipLine’i kampaaniale

Analüüs näitab sarnasusi PowMixi ja varem avalikustatud ZipLine'i kampaania vahel, mis sihtis 2025. aasta augustis tarneahela kriitilisi tootmissektoreid. Ühiste taktikate hulka kuuluvad ZIP-põhine koormuse kohaletoimetamine, ajastatud ülesannete kaudu püsivus ja Heroku infrastruktuuri kasutamine C2-operatsioonide jaoks.

Vaatamata neile kattumistele pole PowMixi botneti enda kõrval täiendavaid koormusi täheldatud. See tekitab ebakindlust kampaania lõppeesmärkide osas, mis viitab edasistele arendustele või teisese etapi koormuste ilmnemisele tulevikus.