{"id":586,"date":"2026-04-16T19:46:24","date_gmt":"2026-04-16T19:46:24","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/16\/la-botnet-powmix-recientemente-descubierta-ataca-a-los-trabajadores-checos-utilizando-trafico-c2-aleatorio-cyberdefensa-mx\/"},"modified":"2026-04-16T19:46:24","modified_gmt":"2026-04-16T19:46:24","slug":"la-botnet-powmix-recientemente-descubierta-ataca-a-los-trabajadores-checos-utilizando-trafico-c2-aleatorio-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/16\/la-botnet-powmix-recientemente-descubierta-ataca-a-los-trabajadores-checos-utilizando-trafico-c2-aleatorio-cyberdefensa-mx\/","title":{"rendered":"La botnet PowMix recientemente descubierta ataca a los trabajadores checos utilizando tr\u00e1fico C2 aleatorio \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Investigadores de ciberseguridad han advertido sobre una campa\u00f1a maliciosa activa dirigida a la fuerza laboral en la Rep\u00fablica Checa con una botnet previamente indocumentada denominada <strong>mezcla de polvo<\/strong> desde al menos diciembre de 2025.<\/p>\n<p>\u00abPowMix emplea intervalos aleatorios de balizas de comando y control (C2), en lugar de una conexi\u00f3n persistente al servidor C2, para evadir las detecciones de firmas de red\u00bb, dijo Chetan Raghuprasad, investigador de Cisco Talos. <a href=\"https:\/\/blog.talosintelligence.com\/powmix-botnet-targets-czech-workforce\/\">dicho<\/a> en un informe publicado hoy.<\/p>\n<p>\u00abPowMix incorpora los datos de latidos cifrados junto con identificadores \u00fanicos de la m\u00e1quina v\u00edctima en las rutas URL de C2, imitando las URL de API REST leg\u00edtimas. PowMix tiene la capacidad de actualizar din\u00e1micamente de forma remota el nuevo dominio C2 al archivo de configuraci\u00f3n de la botnet\u00bb.<\/p>\n<p>La cadena de ataque comienza con un archivo ZIP malicioso, probablemente entregado a trav\u00e9s de un correo electr\u00f3nico de phishing, para activar una cadena de infecci\u00f3n de varias etapas que elimina PowMix. Espec\u00edficamente, se trata de un acceso directo de Windows (LNK) que se utiliza para iniciar un cargador de PowerShell, que luego extrae el malware incrustado en el archivo, lo descifra y lo ejecuta en la memoria.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-blindspot-d-2\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjXdwBgwvGAvD2t1bXXwTy6zsfnReMp12VglYCBAv0j9Tc0_gLKPqF5HJO1kOv26ZcGRlQJ1kRXGvtIusmtnUGUjonzq8YEigkMhMJvk_Cta9TYHzMvqVfa5SvoH-Z9-kw5VEH8sPeI1YKKrzFeNYp0Cn7mEGMn6PXOs0waZDIWKI5nccOxPyJR8MDQMasu\/s728-e100\/nudge-d-2.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>La botnet nunca antes vista est\u00e1 dise\u00f1ada para facilitar el acceso remoto, el reconocimiento y la ejecuci\u00f3n remota de c\u00f3digo, al tiempo que establece persistencia mediante una tarea programada. Al mismo tiempo, verifica el \u00e1rbol de procesos para garantizar que no se est\u00e9 ejecutando otra instancia del mismo malware en el host comprometido.<\/p>\n<p>La l\u00f3gica de gesti\u00f3n remota de PowMix le permite procesar dos tipos diferentes de comandos enviados desde el servidor C2. Cualquier respuesta sin prefijo # hace que PowMix cambie al modo de ejecuci\u00f3n arbitrario y descifre y ejecute la carga \u00fatil obtenida. <\/p>\n<ul>\n<li>#KILL, para iniciar una rutina de autoeliminaci\u00f3n y borrar rastros de todos los artefactos maliciosos<\/li>\n<li>#HOST, para habilitar la migraci\u00f3n de C2 a una nueva URL del servidor.<\/li>\n<\/ul>\n<p>Paralelamente, tambi\u00e9n abre un documento se\u00f1uelo con se\u00f1uelos con tem\u00e1tica de cumplimiento como mecanismo de distracci\u00f3n. Los documentos se\u00f1uelo hacen referencia a marcas leg\u00edtimas como Edeka e incluyen datos de compensaci\u00f3n y referencias legislativas v\u00e1lidas, potencialmente en un esfuerzo por mejorar su credibilidad y enga\u00f1ar a los destinatarios, como los aspirantes a empleo.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhVQYe_vwKTjwRa-O_OP8rzoeOfttlDK0u2tZNjcQHrXWzFN1ezT7g6x1mOr-bqRKS3sQUqZ5dsAe4VNs_lTWVyArHHnrbYCTJ39hZ-5qOeiV1FBA144k42DS3KR2vjrk1q-rRHDxfaZy7stU0q4wxPz9nXcc7tvT3xVceAotxsjMEQqK1_CPC9_VIVFtPX\/s1700-e365\/attack.jpg\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhVQYe_vwKTjwRa-O_OP8rzoeOfttlDK0u2tZNjcQHrXWzFN1ezT7g6x1mOr-bqRKS3sQUqZ5dsAe4VNs_lTWVyArHHnrbYCTJ39hZ-5qOeiV1FBA144k42DS3KR2vjrk1q-rRHDxfaZy7stU0q4wxPz9nXcc7tvT3xVceAotxsjMEQqK1_CPC9_VIVFtPX\/s1700-e365\/attack.jpg\" alt=\"\" border=\"0\" data-original-height=\"555\" data-original-width=\"1000\"\/><\/a><\/div>\n<p>Talos dijo que la campa\u00f1a comparte cierto nivel de superposici\u00f3n t\u00e1ctica con una campa\u00f1a denominada ZipLine que Check Point revel\u00f3 a fines de agosto de 2025 como dirigida a empresas de fabricaci\u00f3n cr\u00edticas para la cadena de suministro con un malware en memoria llamado MixShell.<\/p>\n<p>Esto incluye el uso de la misma entrega de carga \u00fatil basada en ZIP, la persistencia de tareas programadas y el abuso de Heroku para C2. Dicho esto, no se han observado cargas \u00fatiles finales m\u00e1s all\u00e1 del propio malware botnet, lo que deja sin respuesta preguntas sobre sus motivos exactos.<\/p>\n<p>\u00abPowMix evita conexiones persistentes al servidor C2\u00bb, dijo Talos. \u00abEn su lugar, implementa una fluctuaci\u00f3n a trav\u00e9s del comando Get-Random PowerShell para variar los intervalos de baliza inicialmente entre 0 y 261 segundos, y posteriormente entre 1.075 y 1.450 segundos. Esta t\u00e9cnica intenta evitar la detecci\u00f3n de tr\u00e1fico C2 a trav\u00e9s de firmas de red predecibles\u00bb.<\/p>\n<p>La divulgaci\u00f3n se produce cuando Bitsight arroja luz sobre la cadena de infecci\u00f3n asociada con la botnet RondoDox, destacando las capacidades en evoluci\u00f3n del malware para extraer criptomonedas il\u00edcitamente en sistemas infectados usando XMRig adem\u00e1s de la funcionalidad de ataque de denegaci\u00f3n de servicio distribuido (DDoS) existente.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/fast-response-not-fast-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjgi9mu68zRUz1nCLLKmkAA2aBtNfP_JOTXulZoB6yImso1Onk7oM_LI0kdROu8fq5S5oDyMtd1j50W44Ye_8Sl3zQZiE8A9tmFr6kejGKjGh74uoxluF-RyBq_unDQlzjXZHCqQeuYXBoogda5zf0w-zXd6v0rIM7fEw6TcFf_QGWBu5Mop-djkEaOUa5A\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Los hallazgos pintan la imagen de un malware mantenido activamente que ofrece evasi\u00f3n mejorada, mayor resistencia, eliminaci\u00f3n agresiva de la competencia y un conjunto de funciones ampliado.<\/p>\n<p>RondoDox es capaz de explotar m\u00e1s de 170 vulnerabilidades conocidas en varias aplicaciones conectadas a Internet para obtener acceso inicial y soltar un script de shell que realiza un antian\u00e1lisis b\u00e1sico y elimina el malware de la competencia antes de soltar el binario de botnet apropiado para la arquitectura.<\/p>\n<p>El malware \u00abrealiza m\u00faltiples comprobaciones e implementa t\u00e9cnicas para obstaculizar el an\u00e1lisis, que incluyen el uso de nanomites, cambiar el nombre\/eliminar archivos, eliminar procesos y comprobar activamente si hay depuradores durante la ejecuci\u00f3n\u00bb, dijo el cient\u00edfico investigador principal de Bitsight, Jo\u00e3o Godinho. <a href=\"https:\/\/www.bitsight.com\/blog\/rondodox-botnet-malware-analysis\">dicho<\/a>.<\/p>\n<p>\u00abEl robot es capaz de ejecutar ataques DoS en Internet, en la capa de transporte y de aplicaci\u00f3n, dependiendo del comando y los argumentos emitidos por el C2\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Investigadores de ciberseguridad han advertido sobre una campa\u00f1a maliciosa activa dirigida a la fuerza laboral en la Rep\u00fablica Checa con una botnet previamente indocumentada denominada mezcla de polvo desde al menos diciembre de 2025. \u00abPowMix emplea intervalos aleatorios de balizas de comando y control (C2), en lugar de una conexi\u00f3n persistente al servidor C2, para [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":576,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[1891,347,173,1889,24,1888,52,1886,1887,588,1890,330],"class_list":["post-586","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-aleatorio","tag-ataca","tag-botnet","tag-checos","tag-cyberdefensa-mx","tag-descubierta","tag-los","tag-powmix","tag-recientemente","tag-trabajadores","tag-trafico","tag-utilizando"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/586","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=586"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/586\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/576"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=586"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=586"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=586"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}