PowMix Botnett

Forskere innen nettsikkerhet har identifisert en pågående ondsinnet kampanje som har rettet seg mot arbeidsstyrken i Tsjekkia siden minst desember 2025. I sentrum av denne operasjonen står et tidligere udokumentert botnett kjent som PowMix. Denne trusselen er konstruert for å omgå tradisjonelle deteksjonsmekanismer ved å unngå vedvarende tilkoblinger til kommando-og-kontroll-infrastrukturen (C2), og i stedet stole på tilfeldige kommunikasjonsmønstre.

Stealth-kommunikasjon: Avanserte C2-unngåelsesteknikker

PowMix benytter sofistikerte metoder for å forbli uoppdaget i nettverksmiljøer. I stedet for å opprettholde kontinuerlig kontakt med C2-serverne sine, bruker den tilfeldige beaconing-intervaller generert via PowerShell-kommandoer. Disse intervallene varierer i utgangspunktet fra 0 til 261 sekunder og strekker seg senere til mellom 1075 og 1450 sekunder, noe som effektivt forstyrrer forutsigbare trafikkmønstre.

I tillegg legger botnettet inn krypterte hjerteslagsdata og unike offeridentifikatorer direkte i C2-URL-baner, og etterligner dermed legitim REST API-trafikk. Denne designen gjør at skadevaren kan blandes sømløst med normal nettverkskommunikasjon. Botnettet er også i stand til dynamisk å oppdatere C2-domenet sitt gjennom konfigurasjonsfilen, noe som sikrer driftskontinuitet selv om infrastrukturen endres.

Infeksjonskjede: Flertrinns distribusjonsstrategi

Angrepet starter med et ondsinnet ZIP-arkiv, vanligvis distribuert via phishing-e-poster. Når arkivet åpnes, utløser det en nøye orkestrert infeksjonsprosess i flere trinn:

• En Windows-snarveifil (LNK) starter kjøringen
• En PowerShell-laster pakker ut og dekrypterer den innebygde nyttelasten
• Skadevaren kjøres direkte i minnet, noe som minimerer diskartefakter

Denne filløse utførelsesmetoden reduserer sannsynligheten for deteksjon av konvensjonelle sikkerhetsverktøy betydelig.

Evner og utholdenhetsmekanismer

PowMix er utviklet som et allsidig verktøy for fjerntilgang, som lar angripere utføre rekognosering, kjøre vilkårlig kode og opprettholde langsiktig kontroll over kompromitterte systemer. Persistens oppnås gjennom opprettelse av planlagte oppgaver, som sikrer at skadelig programvare forblir aktiv etter systemomstart.

For å opprettholde driftsstabilitet verifiserer skadevaren prosesstreet for å forhindre at flere instanser kjører samtidig på samme vert.

Rammeverk for kommandokjøring: Fleksibel kontrollarkitektur

Botnettet støtter to hovedkategorier av kommandoer som utstedes fra C2-serveren. Oppførselen bestemmes av formatet på serverens svar:

Kommandoer uten prefikset '#' utløser en vilkårlig utførelsesmodus, som ber skadevaren om å dekryptere og utføre mottatte nyttelaster.

Spesielle kommandoer inkluderer:

#KILL: Starter selvsletting og fjerner alle spor av ondsinnet aktivitet

#HOST: Oppdaterer botnettets C2-serveradresse for fortsatt kommunikasjon

Denne fleksible kommandostrukturen lar operatører tilpasse skadevarens oppførsel i sanntid.

Sosial manipuleringslag: Decoy-dokumenter som distraksjon

For å gjøre kampanjen enda mer effektiv, bruker den sosial manipulering. Ofrene blir presentert for lokkedokumenter med samsvarsrelaterte temaer som er utformet for å virke legitime. Disse dokumentene refererer til kjente merkevarer som Edeka og inkluderer detaljer om kompensasjon sammen med legitime lovgivningsreferanser. Slike elementer er ment å bygge tillit og lure mål, spesielt jobbsøkere, til å engasjere seg i det ondsinnede innholdet.

Taktisk overlapping: Lenker til ZipLine-kampanjen

Analyse avdekker likheter mellom PowMix og en tidligere avslørt kampanje kjent som ZipLine, som var rettet mot forsyningskjedekritiske produksjonssektorer i august 2025. Felles taktikker inkluderer ZIP-basert nyttelastlevering, utholdenhet via planlagte oppgaver og bruk av Heroku-infrastruktur for C2-operasjoner.

Til tross for disse overlappingene er det ikke observert ytterligere nyttelaster utover selve PowMix-botnettet. Dette skaper usikkerhet rundt kampanjens endelige mål, noe som tyder på at ytterligere utvikling eller nyttelaster i sekundærfasen kan dukke opp i fremtiden.