PowMix বটনেট
সাইবার নিরাপত্তা গবেষকরা চেক প্রজাতন্ত্রের কর্মশক্তিকে লক্ষ্য করে অন্তত ডিসেম্বর ২০২৫ থেকে চলমান একটি ক্ষতিকারক অভিযান শনাক্ত করেছেন। এই কার্যক্রমের কেন্দ্রবিন্দুতে রয়েছে পাওমিক্স (PowMix) নামে পরিচিত পূর্বে অনুল্লিখিত একটি বটনেট। এই হুমকিটি তার কমান্ড-অ্যান্ড-কন্ট্রোল (C2) পরিকাঠামোর সাথে অবিচ্ছিন্ন সংযোগ এড়িয়ে প্রচলিত শনাক্তকরণ পদ্ধতিকে ফাঁকি দেওয়ার জন্য তৈরি করা হয়েছে এবং এর পরিবর্তে এটি এলোমেলো যোগাযোগ পদ্ধতির উপর নির্ভর করে।
সুচিপত্র
গোপন যোগাযোগ: উন্নত C2 এড়ানোর কৌশল
নেটওয়ার্ক পরিবেশে অলক্ষিত থাকার জন্য পাওমিক্স অত্যাধুনিক পদ্ধতি ব্যবহার করে। এটি তার C2 সার্ভারগুলোর সাথে অবিচ্ছিন্ন যোগাযোগ বজায় রাখার পরিবর্তে, পাওয়ারশেল কমান্ডের মাধ্যমে তৈরি র্যান্ডমাইজড বিকনিং ইন্টারভ্যাল ব্যবহার করে। এই ইন্টারভ্যালগুলো প্রাথমিকভাবে ০ থেকে ২৬১ সেকেন্ড পর্যন্ত থাকে এবং পরে তা বেড়ে ১,০৭৫ থেকে ১,৪৫০ সেকেন্ড পর্যন্ত হয়, যা কার্যকরভাবে অনুমানযোগ্য ট্র্যাফিক প্যাটার্নকে ব্যাহত করে।
এছাড়াও, বটনেটটি এনক্রিপ্টেড হার্টবিট ডেটা এবং ভুক্তভোগীর অনন্য শনাক্তকারী সরাসরি C2 URL পাথে যুক্ত করে, যা বৈধ REST API ট্র্যাফিকের অনুকরণ করে। এই নকশাটি ম্যালওয়্যারটিকে সাধারণ নেটওয়ার্ক যোগাযোগের সাথে নির্বিঘ্নে মিশে যেতে সক্ষম করে। বটনেটটি তার কনফিগারেশন ফাইলের মাধ্যমে গতিশীলভাবে তার C2 ডোমেইন আপডেট করতেও সক্ষম, যা পরিকাঠামোগত পরিবর্তন হলেও কার্যক্রমের ধারাবাহিকতা নিশ্চিত করে।
সংক্রমণ শৃঙ্খল: বহু-পর্যায়ের মোতায়েন কৌশল
এই আক্রমণটি একটি ক্ষতিকর জিপ আর্কাইভ দিয়ে শুরু হয়, যা সাধারণত ফিশিং ইমেলের মাধ্যমে ছড়ানো হয়। একবার খোলা হলে, আর্কাইভটি একটি সুপরিকল্পিত, বহু-পর্যায়ের সংক্রমণ প্রক্রিয়া শুরু করে দেয়:
- একটি উইন্ডোজ শর্টকাট (LNK) ফাইল কার্য সম্পাদন শুরু করে।
- একটি পাওয়ারশেল লোডার এমবেডেড পেলোডটি নিষ্কাশন এবং ডিক্রিপ্ট করে।
- ম্যালওয়্যারটি সরাসরি মেমরিতে এক্সিকিউট হয়, ফলে ডিস্কে এর প্রভাব ন্যূনতম থাকে।
ফাইলবিহীন এই এক্সিকিউশন পদ্ধতি প্রচলিত নিরাপত্তা টুল দ্বারা শনাক্ত হওয়ার সম্ভাবনা উল্লেখযোগ্যভাবে হ্রাস করে।
ক্ষমতা এবং স্থায়িত্ব প্রক্রিয়া
PowMix একটি বহুমুখী রিমোট অ্যাক্সেস টুল হিসেবে ডিজাইন করা হয়েছে, যা আক্রমণকারীদেরকে সিস্টেমের তথ্য সংগ্রহ, যথেচ্ছ কোড চালানো এবং আক্রান্ত সিস্টেমের উপর দীর্ঘমেয়াদী নিয়ন্ত্রণ বজায় রাখতে সক্ষম করে। নির্ধারিত টাস্ক তৈরির মাধ্যমে এর স্থায়িত্ব নিশ্চিত করা হয়, যা সিস্টেম রিবুটের পরেও ম্যালওয়্যারটিকে সক্রিয় রাখে।
পরিচালনগত স্থিতিশীলতা বজায় রাখতে, ম্যালওয়্যারটি প্রসেস ট্রি যাচাই করে, যাতে একই হোস্টে একাধিক ইনস্ট্যান্স একযোগে চলতে না পারে।
কমান্ড এক্সিকিউশন ফ্রেমওয়ার্ক: নমনীয় নিয়ন্ত্রণ স্থাপত্য
বটনেটটি C2 সার্ভার থেকে জারি করা দুই ধরনের প্রধান কমান্ড সমর্থন করে। এর আচরণ সার্ভারের প্রতিক্রিয়ার ধরন দ্বারা নির্ধারিত হয়:
'#' উপসর্গ ছাড়া কমান্ডগুলো নির্বিচার এক্সিকিউশন মোড চালু করে, যা ম্যালওয়্যারটিকে প্রাপ্ত পেলোডগুলো ডিক্রিপ্ট ও এক্সিকিউট করতে প্ররোচিত করে।
বিশেষ কমান্ডগুলোর মধ্যে রয়েছে:
#KILL: আত্ম-বিলোপ প্রক্রিয়া শুরু করে এবং ক্ষতিকারক কার্যকলাপের সমস্ত চিহ্ন মুছে ফেলে।
#HOST: যোগাযোগ অব্যাহত রাখার জন্য বটনেটের C2 সার্ভারের ঠিকানা আপডেট করে।
এই নমনীয় কমান্ড কাঠামো অপারেটরদেরকে রিয়েল টাইমে ম্যালওয়্যারের আচরণ পরিবর্তন করার সুযোগ দেয়।
সোশ্যাল ইঞ্জিনিয়ারিং স্তর: মনোযোগ অন্যদিকে সরিয়ে দেওয়ার জন্য ছদ্মবেশী নথি
এর কার্যকারিতা আরও বাড়াতে, এই প্রচারাভিযানে সোশ্যাল ইঞ্জিনিয়ারিং কৌশল অন্তর্ভুক্ত করা হয়েছে। ভুক্তভোগীদের সামনে এমন সব প্রতারণামূলক নথি উপস্থাপন করা হয়, যেগুলোতে নিয়মকানুন-সম্পর্কিত বিষয়বস্তু থাকে এবং সেগুলোকে বৈধ বলে মনে করানোর জন্য তৈরি করা হয়। এই নথিগুলোতে এডেকার মতো সুপরিচিত ব্র্যান্ডের উল্লেখ থাকে এবং বৈধ আইনগত রেফারেন্সের পাশাপাশি ক্ষতিপূরণের বিবরণও অন্তর্ভুক্ত করা হয়। এই ধরনের উপাদানগুলোর উদ্দেশ্য হলো বিশ্বাস তৈরি করা এবং লক্ষ্যবস্তুদের, বিশেষ করে চাকরিপ্রার্থীদের, ক্ষতিকারক বিষয়বস্তুর সাথে যুক্ত হতে প্রতারিত করা।
কৌশলগত ওভারল্যাপ: জিপলাইন ক্যাম্পেইনের লিঙ্ক
বিশ্লেষণে PowMix এবং পূর্বে প্রকাশিত ZipLine নামক একটি ক্যাম্পেইনের মধ্যে সাদৃশ্য খুঁজে পাওয়া যায়, যা ২০২৫ সালের আগস্ট মাসে সাপ্লাই চেইনের জন্য গুরুত্বপূর্ণ উৎপাদন খাতগুলোকে লক্ষ্যবস্তু করেছিল। এদের অভিন্ন কৌশলগুলোর মধ্যে রয়েছে ZIP-ভিত্তিক পেলোড ডেলিভারি, নির্ধারিত টাস্কের মাধ্যমে ডেটার স্থায়িত্ব এবং C2 অপারেশনের জন্য Heroku পরিকাঠামোর ব্যবহার।
এই সাদৃশ্যগুলো থাকা সত্ত্বেও, PowMix বটনেটটির বাইরে অন্য কোনো অতিরিক্ত পেলোড শনাক্ত করা যায়নি। এটি এই অভিযানের চূড়ান্ত উদ্দেশ্য সম্পর্কে অনিশ্চয়তা তৈরি করে, যা থেকে বোঝা যায় যে ভবিষ্যতে আরও উন্নয়ন বা দ্বিতীয় পর্যায়ের পেলোড আবির্ভূত হতে পারে।
