Botnet PowMix

Výskumníci v oblasti kybernetickej bezpečnosti identifikovali prebiehajúcu škodlivú kampaň zameranú na pracovnú silu v Českej republike minimálne od decembra 2025. V centre tejto operácie je doteraz nezdokumentovaný botnet známy ako PowMix. Táto hrozba je navrhnutá tak, aby sa vyhla tradičným detekčným mechanizmom tým, že sa vyhýba trvalému pripojeniu k svojej infraštruktúre velenia a riadenia (C2) a namiesto toho sa spolieha na náhodné komunikačné vzorce.

Tajná komunikácia: Pokročilé techniky úniku C2

PowMix využíva sofistikované metódy, aby zostal v sieťovom prostredí nepozorovaný. Namiesto udržiavania nepretržitého kontaktu so svojimi C2 servermi používa náhodné intervaly signalizácie generované pomocou príkazov PowerShell. Tieto intervaly sa spočiatku pohybujú od 0 do 261 sekúnd a neskôr sa predlžujú na 1 075 až 1 450 sekúnd, čím efektívne narúšajú predvídateľné vzorce prevádzky.

Botnet navyše vkladá šifrované údaje o srdcovom signále a jedinečné identifikátory obetí priamo do URL ciest C2, čím napodobňuje legitímnu prevádzku REST API. Tento dizajn umožňuje malvéru bezproblémovo sa začleniť do bežnej sieťovej komunikácie. Botnet je tiež schopný dynamicky aktualizovať svoju doménu C2 prostredníctvom konfiguračného súboru, čím zabezpečuje kontinuitu prevádzky aj v prípade zmien infraštruktúry.

Reťazec infekcie: Viacstupňová stratégia nasadenia

Útok začína škodlivým ZIP archívom, ktorý sa zvyčajne distribuuje prostredníctvom phishingových e-mailov. Po otvorení archívu sa spustí starostlivo premyslený viacstupňový proces infikovania:

• Súbor skratiek systému Windows (LNK) iniciuje vykonávanie
• Zavádzač PowerShellu extrahuje a dešifruje vložené užitočné zaťaženie
• Škodlivý softvér sa spúšťa priamo v pamäti, čím sa minimalizujú artefakty na disku.

Tento prístup k bezsúborovému vykonávaniu výrazne znižuje pravdepodobnosť odhalenia konvenčnými bezpečnostnými nástrojmi.

Schopnosti a mechanizmy perzistencie

PowMix je navrhnutý ako všestranný nástroj pre vzdialený prístup, ktorý umožňuje útočníkom vykonávať prieskum, spúšťať ľubovoľný kód a udržiavať si dlhodobú kontrolu nad napadnutými systémami. Trvalosť sa dosahuje vytváraním naplánovaných úloh, čím sa zabezpečuje, že malvér zostane aktívny aj po reštarte systému.

Pre zachovanie prevádzkovej stability malvér overuje strom procesov, aby zabránil súčasnému spusteniu viacerých inštancií na tom istom hostiteľovi.

Rámec na vykonávanie príkazov: Flexibilná architektúra riadenia

Botnet podporuje dve hlavné kategórie príkazov vydaných zo servera C2. Jeho správanie je určené formátom odpovede servera:

Príkazy bez predpony „#“ spúšťajú režim ľubovoľného vykonávania, čo vyzve malvér na dešifrovanie a vykonanie prijatých údajov.

Medzi špeciálne príkazy patria:

#KILL: Spustí samovymazanie a odstráni všetky stopy škodlivej aktivity

#HOST: Aktualizuje adresu servera C2 botnetu pre pokračujúcu komunikáciu

Táto flexibilná štruktúra príkazov umožňuje operátorom prispôsobiť správanie škodlivého softvéru v reálnom čase.

Vrstva sociálneho inžinierstva: Návnadové dokumenty ako rozptýlenie

Na zvýšenie svojej účinnosti kampaň využíva taktiky sociálneho inžinierstva. Obetiam sú predkladané návnadové dokumenty s témami súvisiacimi s dodržiavaním predpisov, ktoré vyzerajú legitímne. Tieto dokumenty odkazujú na známe značky, ako je Edeka, a obsahujú podrobnosti o odmeňovaní spolu s legitímnymi odkazmi na legislatívu. Takéto prvky majú vybudovať dôveru a oklamať cieľové skupiny, najmä uchádzačov o zamestnanie, aby sa zapojili do interakcie so škodlivým obsahom.

Taktické prekrývanie: Prepojenia na kampaň ZipLine

Analýza odhaľuje podobnosti medzi kampaňou PowMix a predtým zverejnenou kampaňou známou ako ZipLine, ktorá sa v auguste 2025 zamerala na kritické výrobné sektory dodávateľského reťazca. Medzi spoločné taktiky patrí doručovanie užitočného zaťaženia na základe ZIP, perzistencia prostredníctvom naplánovaných úloh a využitie infraštruktúry Heroku pre operácie C2.

Napriek týmto prekrývaniam neboli pozorované žiadne ďalšie užitočné zaťaženia okrem samotného botnetu PowMix. To ponecháva neistotu ohľadom konečných cieľov kampane, čo naznačuje, že v budúcnosti sa môže objaviť ďalší vývoj alebo užitočné zaťaženia sekundárnej fázy.