Phorpiexと呼ばれるボットネットは2016年から活動を開始し、数十万台のデバイスを感染させている。このマルウェアは、2019年にはセクストーションのEメール攻撃を成功させ、月あたり2万ドルの利益を犯罪者集団にもたらしていた。
Phorpiexはまた、"crypto-clipping"と呼ばれる手法で暗号通貨を盗む能力を持っている。この攻撃では、感染したデバイス上のマルウェアが、暗号通貨の取引が行われるのを待機し、トランザクションを検知すると、送信先のウォレットのアドレスを攻撃者が管理するアドレスに置き換える。
チェックポイント・リサーチによると、Phorpiexのクリッパーは30種類以上の暗号通貨に対応しており、2016年4月以降に数千件のトランザクションを乗っ取り、約38ビットコインと133イーサを盗み出したという。被害額は、現在のレートで約220万ドル（約25億円）とされている。
また、昨年11月からの1年間で、Phorpiexは969件のトランザクションを乗っ取り、65万ドル以上の利益を得たという。
しかし、今年の夏にこのボットネットの活動は突然衰退し、8月には作成者の1人がサイバー犯罪から手を引き、もう1人がPhorpiexのコードを最高額の入札者に売却することを決めたとされている。
実際に売却されたかどうかは別にして、Phorpiexはその後、新しいトリックを使って復活した。Twiztと呼ばれる新しいバージョンが現れたのだ。
Twiztの最大の特徴の1つは、ボットネットがピアツーピアで通信可能になったことで、感染したホストは、お互いに指示を送るようになっている。
また、Twiztには、二重に暗号化された通信プロトコルと、新たなデータの統合機能が追加されている。チェックポイントの研究者のAlexey Bukhteyevは、「このような機能の出現は、ボットネットがさらに安定し、その結果、より危険なものになる可能性を示唆している」と述べている。
セキュリティ研究者は、過去に何度かPhorpiexボットネットの制御に成功していたが、Twiztが出現した今、それは非常に困難なものになるかもしれない。
