بات‌نت تازه‌کشف‌شده PowMix کارگران چک را با ترافیک C2 تصادفی هدف قرار می‌دهد

محققان امنیت سایبری از شرکت Cisco Talos نسبت به یک کمپین مخرب فعال هشدار دادند که حداقل از دسامبر ۲۰۲۵ نیروی کار جمهوری چک را هدف قرار داده است. این کمپین از یک بات‌نت (botnet) جدید و پیش‌تر ناشناخته به نام «PowMix» بهره می‌برد. زنجیره حمله با یک فایل ZIP مخرب آغاز می‌شود که احتمالاً از طریق ایمیل فیشینگ (phishing) ارسال شده و یک میانبر ویندوز (LNK) را فعال می‌کند تا یک بارگذار PowerShell را اجرا کند؛ این بارگذار بدافزار را از آرشیو استخراج، رمزگشایی و مستقیماً در حافظه اجرا می‌کند. PowMix با استفاده از فواصل تصادفی برای ارتباط با سرور فرمان و کنترل (C2) و جاسازی داده‌های رمزگذاری‌شده در مسیرهای URL به شکل REST API قانونی، از شناسایی شبکه‌ای فرار می‌کند و قابلیت‌هایی نظیر دسترسی از راه دور، شناسایی محیط و اجرای کد از راه دور را فراهم می‌آورد.

همزمان، شرکت Bitsight جزئیاتی درباره بات‌نت «RondoDox» منتشر کرد که علاوه بر قابلیت‌های حملات منع سرویس توزیع‌شده (DDoS)، اکنون با استفاده از ابزار XMRig به استخراج غیرمجاز ارز دیجیتال (cryptocurrency mining) بر روی سیستم‌های آلوده می‌پردازد. این بدافزار قادر است بیش از ۱۷۰ آسیب‌پذیری شناخته‌شده در برنامه‌های اینترنتی را برای نفوذ اولیه بهره‌برداری کند و از تکنیک‌های پیشرفته‌ای برای فرار از تحلیل، از جمله استفاده از «نانومایت‌ها» (nanomites) و بررسی فعال وجود اشکال‌زداها (debuggers)، استفاده می‌کند. محققان Talos همچنین اشاره کردند که کمپین PowMix با کمپین «ZipLine» که در اواخر اوت ۲۰۲۵ توسط Check Point افشا شده بود، همپوشانی‌های تاکتیکی دارد.