បណ្តាញ PowMix
ក្រុមអ្នកស្រាវជ្រាវសន្តិសុខតាមអ៊ីនធឺណិតបានកំណត់អត្តសញ្ញាណយុទ្ធនាការព្យាបាទដែលកំពុងបន្តដែលកំណត់គោលដៅលើកម្លាំងពលកម្មនៅក្នុងសាធារណរដ្ឋឆែកចាប់តាំងពីយ៉ាងហោចណាស់ខែធ្នូ ឆ្នាំ២០២៥។ នៅចំកណ្តាលនៃប្រតិបត្តិការនេះគឺជាបណ្តាញ botnet ដែលគ្មានឯកសារពីមុនដែលគេស្គាល់ថា PowMix។ ការគំរាមកំហែងនេះត្រូវបានរចនាឡើងដើម្បីគេចពីយន្តការរកឃើញបែបប្រពៃណីដោយជៀសវាងការតភ្ជាប់ជាប់លាប់ទៅកាន់ហេដ្ឋារចនាសម្ព័ន្ធ Command-and-Control (C2) របស់វា ផ្ទុយទៅវិញពឹងផ្អែកលើគំរូទំនាក់ទំនងចៃដន្យ។
តារាងមាតិកា
ការទំនាក់ទំនងដោយលួចលាក់៖ បច្ចេកទេសគេចវេស C2 កម្រិតខ្ពស់
PowMix ប្រើប្រាស់វិធីសាស្រ្តទំនើបៗ ដើម្បីរក្សាការមិនឱ្យរកឃើញនៅក្នុងបរិស្ថានបណ្តាញ។ ជំនួសឱ្យការរក្សាទំនាក់ទំនងជាបន្តបន្ទាប់ជាមួយម៉ាស៊ីនមេ C2 របស់វា វាប្រើចន្លោះពេលបញ្ជូនសញ្ញាចៃដន្យដែលបង្កើតតាមរយៈពាក្យបញ្ជា PowerShell។ ចន្លោះពេលទាំងនេះដំបូងមានចាប់ពី 0 ដល់ 261 វិនាទី ហើយក្រោយមកពង្រីកដល់ចន្លោះពី 1,075 ទៅ 1,450 វិនាទី ដែលរំខានដល់គំរូចរាចរណ៍ដែលអាចព្យាករណ៍បាន។
លើសពីនេះ botnet នេះបង្កប់ទិន្នន័យចង្វាក់បេះដូងដែលបានអ៊ិនគ្រីប និងឧបករណ៍កំណត់អត្តសញ្ញាណជនរងគ្រោះតែមួយគត់ដោយផ្ទាល់ទៅក្នុងផ្លូវ URL C2 ដោយធ្វើត្រាប់តាមចរាចរណ៍ REST API ស្របច្បាប់។ ការរចនានេះអនុញ្ញាតឱ្យមេរោគលាយបញ្ចូលគ្នាយ៉ាងរលូនជាមួយនឹងការទំនាក់ទំនងបណ្តាញធម្មតា។ botnet នេះក៏មានសមត្ថភាពធ្វើបច្ចុប្បន្នភាពដែន C2 របស់វាតាមរយៈឯកសារកំណត់រចនាសម្ព័ន្ធរបស់វាផងដែរ ដែលធានាបាននូវនិរន្តរភាពប្រតិបត្តិការទោះបីជាហេដ្ឋារចនាសម្ព័ន្ធផ្លាស់ប្តូរក៏ដោយ។
ខ្សែសង្វាក់នៃការឆ្លងមេរោគ៖ យុទ្ធសាស្ត្រដាក់ពង្រាយពហុដំណាក់កាល
ការវាយប្រហារចាប់ផ្តើមជាមួយនឹងបណ្ណសារ ZIP ព្យាបាទ ដែលជាធម្មតាត្រូវបានចែកចាយតាមរយៈអ៊ីមែលបន្លំ។ នៅពេលដែលបើករួច បណ្ណសារនឹងបង្កឱ្យមានដំណើរការឆ្លងមេរោគច្រើនដំណាក់កាលដែលត្រូវបានរៀបចំយ៉ាងប្រុងប្រយ័ត្ន៖
- ឯកសារ Windows Shortcut (LNK) ចាប់ផ្តើមការប្រតិបត្តិ
- កម្មវិធី PowerShell loader ស្រង់ចេញ និងឌិគ្រីប payload ដែលបានបង្កប់។
- មេរោគនេះត្រូវបានប្រតិបត្តិដោយផ្ទាល់នៅក្នុងអង្គចងចាំ ដោយកាត់បន្ថយវត្ថុបុរាណនៅលើថាស។
វិធីសាស្រ្តប្រតិបត្តិដោយគ្មានឯកសារនេះកាត់បន្ថយយ៉ាងខ្លាំងនូវលទ្ធភាពនៃការរកឃើញដោយឧបករណ៍សុវត្ថិភាពធម្មតា។
សមត្ថភាព និងយន្តការនៃការបន្តស្ថិតស្ថេរ
PowMix ត្រូវបានរចនាឡើងជាឧបករណ៍ចូលប្រើពីចម្ងាយដែលអាចប្រើប្រាស់បានច្រើនយ៉ាង ដែលអនុញ្ញាតឱ្យអ្នកវាយប្រហារធ្វើការឈ្លបយកការណ៍ ប្រតិបត្តិកូដតាមអំពើចិត្ត និងរក្សាការគ្រប់គ្រងរយៈពេលវែងលើប្រព័ន្ធដែលរងការគំរាមកំហែង។ ស្ថេរភាពត្រូវបានសម្រេចតាមរយៈការបង្កើតភារកិច្ចដែលបានកំណត់ពេល ដោយធានាថាមេរោគនៅតែសកម្មនៅទូទាំងការចាប់ផ្តើមប្រព័ន្ធឡើងវិញ។
ដើម្បីរក្សាស្ថេរភាពប្រតិបត្តិការ មេរោគនឹងផ្ទៀងផ្ទាត់ដើមឈើដំណើរការ ដើម្បីការពារកុំឱ្យ instance ច្រើនដំណើរការក្នុងពេលដំណាលគ្នានៅលើម៉ាស៊ីនតែមួយ។
ក្របខ័ណ្ឌប្រតិបត្តិពាក្យបញ្ជា៖ ស្ថាបត្យកម្មត្រួតពិនិត្យដែលអាចបត់បែនបាន
botnet គាំទ្រប្រភេទពាក្យបញ្ជាចម្បងពីរដែលចេញពីម៉ាស៊ីនមេ C2។ ឥរិយាបថរបស់វាត្រូវបានកំណត់ដោយទម្រង់នៃការឆ្លើយតបរបស់ម៉ាស៊ីនមេ៖
ពាក្យបញ្ជាដែលគ្មានបុព្វបទ '#' បង្កឱ្យមានរបៀបប្រតិបត្តិតាមអំពើចិត្ត ដែលជំរុញឱ្យមេរោគឌិគ្រីប និងប្រតិបត្តិបន្ទុកដែលបានទទួល
ពាក្យបញ្ជាពិសេសរួមមាន៖
#KILL: ចាប់ផ្តើមការលុបដោយស្វ័យប្រវត្តិ និងលុបដានទាំងអស់នៃសកម្មភាពព្យាបាទ
#HOST: ធ្វើបច្ចុប្បន្នភាពអាសយដ្ឋានម៉ាស៊ីនមេ C2 របស់ botnet សម្រាប់ការទំនាក់ទំនងជាបន្តបន្ទាប់
រចនាសម្ព័ន្ធពាក្យបញ្ជាដែលអាចបត់បែនបាននេះអនុញ្ញាតឱ្យប្រតិបត្តិករសម្របឥរិយាបថរបស់មេរោគក្នុងពេលវេលាជាក់ស្តែង។
ស្រទាប់វិស្វកម្មសង្គម៖ ឯកសារក្លែងក្លាយជាការរំខាន
ដើម្បីបង្កើនប្រសិទ្ធភាពរបស់វា យុទ្ធនាការនេះបញ្ចូលយុទ្ធសាស្ត្រវិស្វកម្មសង្គម។ ជនរងគ្រោះនឹងត្រូវបានបង្ហាញជាមួយឯកសារក្លែងក្លាយដែលមានប្រធានបទទាក់ទងនឹងការអនុលោមតាមច្បាប់ ដែលត្រូវបានរចនាឡើងដើម្បីបង្ហាញថាស្របច្បាប់។ ឯកសារទាំងនេះយោងទៅលើម៉ាកល្បីៗដូចជា Edeka និងរួមបញ្ចូលព័ត៌មានលម្អិតអំពីសំណងរួមជាមួយឯកសារយោងផ្នែកនីតិបញ្ញត្តិស្របច្បាប់។ ធាតុបែបនេះមានបំណងបង្កើតទំនុកចិត្ត និងបញ្ឆោតគោលដៅ ជាពិសេសអ្នកស្វែងរកការងារ ឲ្យចូលរួមជាមួយខ្លឹមសារដែលមានគំនិតអាក្រក់។
ការត្រួតស៊ីគ្នាខាងយុទ្ធសាស្ត្រ៖ តំណភ្ជាប់ទៅកាន់យុទ្ធនាការ ZipLine
ការវិភាគបង្ហាញពីភាពស្រដៀងគ្នារវាង PowMix និងយុទ្ធនាការដែលបានបង្ហាញពីមុនដែលគេស្គាល់ថា ZipLine ដែលបានកំណត់គោលដៅលើវិស័យផលិតកម្មដ៏សំខាន់នៃខ្សែសង្វាក់ផ្គត់ផ្គង់ក្នុងខែសីហា ឆ្នាំ 2025។ យុទ្ធសាស្ត្ររួមរួមមានការចែកចាយបន្ទុកដែលមានមូលដ្ឋានលើ ZIP ការតស៊ូតាមរយៈភារកិច្ចដែលបានកំណត់ពេល និងការប្រើប្រាស់ហេដ្ឋារចនាសម្ព័ន្ធ Heroku សម្រាប់ប្រតិបត្តិការ C2។
បើទោះបីជាមានការត្រួតស៊ីគ្នាទាំងនេះក៏ដោយ ក៏មិនមានបន្ទុកបន្ថែមណាមួយត្រូវបានគេសង្កេតឃើញក្រៅពីបណ្តាញ PowMix botnet នោះទេ។ នេះបន្សល់ទុកនូវភាពមិនប្រាកដប្រជាទាក់ទងនឹងគោលបំណងចុងក្រោយនៃយុទ្ធនាការនេះ ដែលបង្ហាញថាការអភិវឌ្ឍបន្ថែមទៀត ឬបន្ទុកដំណាក់កាលទីពីរអាចនឹងលេចឡើងនាពេលអនាគត។
