MQTT-basierte BambooToken-Malware zielt auf Windows- und Linux-Systeme

Black Lotus Labs, der Bedrohungsforschungsarm von Lumen Technologies, hat Details zu einer bisher undokumentierten Malware-Familie namens BambooToken veröffentlicht, die das MQTT-Nachrichtenprotokoll verwendet, um sowohl Windows- als auch Linux-Systeme zu steuern. Die Forscher geben an, die Malware Anfang 2026 auf VirusTotal entdeckt zu haben, wobei die Beweise auf einen versierten Bedrohungsakteur hindeuten, der es geschafft hat, bis jetzt unentdeckt zu bleiben. Aktivitäten im Zusammenhang mit der Malware wurden noch im Juli 2026 festgestellt, und die früheste bekannte Aktivität reicht mindestens bis Februar 2023 zurück. Ziele wurden in Asien und Südamerika identifiziert, und die anfängliche Zugriffsmethode zur Verbreitung von BambooToken bleibt laut dem mit The Hacker News geteilten Bericht unbestimmt.

MQTT, kurz für Message Queueing Telemetry Transport, ist ein leichtgewichtiges Publish-Subscribe-Netzwerkprotokoll, das häufig von IoT-Geräten zum Austausch kleiner Nachrichten verwendet wird. Seine Nutzung als Remote-Command-and-Control-Kanal (C2) ist nicht neu. Im Januar 2023 wurde die chinesische nation-state-Hackergruppe Mustang Panda dabei beobachtet, wie sie eine Backdoor namens MQsTTang verwendete, die das IoT-Nachrichtenprotokoll nutzte, um Befehle auf kompromittierten Hosts abzurufen und auszuführen. Weitere dokumentierte Beispiele sind die Android-Malware Tizi, die sensible Daten aus Messaging- und Social-Media-Apps sammeln und HTTPS oder MQTT für C2 verwenden kann, der Malware-Loader WailingCrab (auch bekannt als WikiLoader), der über E-Mails mit Liefer- und Versandthemen verbreitet und der Cyberkriminalitätsgruppe Bamboo Spider zugeschrieben wird, sowie die Operational-Technology-Malware IOCONTROL (auch bekannt als OrpaCrab), die auf IoT- und SCADA-Systeme in Israel und den USA abzielt.

Ein Schlüsselelement der Kampagne ist die Nutzung der Tendyron OnKey-Software, um Agenten in Zielmaschinen einzuschleusen. Tendyron OnKey ist ein PKI-USB-Sicherheitstoken (Public Key Infrastructure) der zweiten Generation und ein Authentifizierungsgerät, das für den Schutz von Online-Banking- und Finanztransaktionen entwickelt wurde. Der Hersteller behauptet, 190 Millionen Token im Umlauf zu haben, und seine Website listet Kunden im chinesischen Finanz- und Regierungssektor sowie in anderen Branchen auf. Black Lotus Labs erklärte, dass weder das Code-Signaturzertifikat von Tendyron noch seine Build-Umgebung im Zusammenhang mit der Aktivität kompromittiert wurden. Stattdessen vermuten die Forscher, dass die Betreiber auf eine Binärdatei setzen, die anfällig für DLL-Sideloading ist, eine Technik, bei der ein Programm dazu gebracht wird, eine bösartige Hilfsdatei vom falschen Ort zu laden. Spätere Versionen von BambooToken laden eine gefälschte Version einer DLL namens OnKeyToken_KEB.dll nach, die vom Tendyron OnKeySrv-Programm verwendet wird. Die meisten BambooToken-Proben wurden aus chinesischem IP-Adressraum auf VirusTotal hochgeladen, was laut den Forschern auf eine Datensammelkampagne hindeutet, die auf Benutzer in China und benachbarten Ländern abzielt.

Frühe Iterationen des BambooToken-Agenten extrahieren den C2-Server aus einer .DAT-Datei oder greifen auf einen fest codierten Server zurück, wenn die Datei nicht gefunden wird. Die Malware sammelt dann Systemdetails und sendet sie an den C2-Server chat5188[.]tk. Als Antwort erteilt der Server Befehle zum Laden eines Plugins, zum Stoppen aller Plugins, zum Beenden der Malware und zum Trennen der Verbindung zum C2-Server. Nachfolgende Versionen der Malware laden die gefälschte OnKeyToken_KEB.dll nach, um den Host zu enumerieren und in eine Befehlsschleife einzutreten, die MQTT für C2 verwendet. Seit Dezember 2025 hat BambooToken seinen Umfang erweitert und zielt nun auch auf Linux-Hosts ab, wobei weiterhin MQTT verwendet wird. Ryan English, ein Informationssicherheitsingenieur bei Lumen Technologies Black Lotus Labs, sagte gegenüber The Hacker News, dass die erste Version von BambooToken über ein PowerShell-Skript initiiert wurde, wobei das Windows-Automatisierungstool verwendet wurde, um Speicher zuzuweisen und die bösartige Datei auszuführen. English sagte, das Team geht davon aus, dass Sideloading wahrscheinlich weniger EDR-Warnungen (Endpoint Detection and Response) auslösen würde, sodass sich die Taktiken, Techniken und Verfahren des Bedrohungsakteurs im Laufe der Kampagne änderten.

BambooToken ist darauf ausgelegt, umfangreiche Host-Informationen zu sammeln und ein Antivirus-Plugin für Windows bereitzustellen. Dieses Plugin verwendet das Windows Management Instrumentation (WMI)-Framework, um Details über installierte Antivirenprodukte auf der Maschine zu sammeln und sie an einen zweiten C2-Server, api80.c2iznja[.]com, zu exfiltrieren. Die Domains nutzten Cloudflare als Proxy für ihre Infrastruktur. Eine Domain, die mit der Kampagne von 2025 in Verbindung steht, gelangte kürzlich in die Top 500.000 Domains auf Cloudflare Radar, einem öffentlichen Dienst, der Domain-Popularität und Internetverkehr verfolgt. Die ältere Domain erreichte auf dem Höhepunkt der Operationen im Jahr 2024 einen Rang in den Top 1 Million, was auf eine weitverbreitete Infektion über Kampagnen für diesen Aktivitätscluster hindeutet.

Black Lotus Labs identifizierte außerdem IP-Adressen, die nach Singapur, Kambodscha und Vietnam geolokalisiert sind und mit einem der aktiven C2-Knoten kommunizieren. Diese IP-Adressen entsprechen MikroTik- und DrayTek-Routern. Ein Dutzend kompromittierter Entitäten wurden in Asien und Südamerika entdeckt. Die überwiegende Mehrheit der kompromittierten Server steht im Zusammenhang mit mobilen Anwendungen sowie einem GitLab-Server in Hongkong und einem vietnamesischen Unternehmen, das ein tragbares Lifestyle-Management-Gerät entwickelt. Weitere Ziele sind ein Hotel in Vietnam, ein biomedizinisches Unternehmen in Argentinien, eine Anwaltskanzlei in Chile, eine Kryptowährungs-Website in Litauen und eine malaysische Finanzorganisation.

Es ist derzeit unbekannt, wer hinter der Aktivität steckt. Lumen erklärte jedoch, dass die Verwendung von DLL-Sideloading in Verbindung mit einer SoftEther VPN-Verbindung, die von einem Virtual Private Server (VPS) zu einem der C2-Knoten ausgeht, auf einen China-Nexus hindeutet. Ein weiterer Punkt, den Lumen anführt, ist, dass sowohl MQsTTang als auch BambooToken etwa zur gleichen Zeit Anfang 2023 auftauchten. Obwohl es keine Hinweise auf eine Überschneidung zwischen den beiden Bedrohungsaktivitätsclustern gibt, sagte Lumen, es sei möglich, dass der Bedrohungsakteur sich ein Beispiel an Mustang Panda genommen haben könnte, um seine eigene Malware zu aktualisieren und in kommenden Versionen MQTT zu unterstützen.

Lumen kam zu dem Schluss, dass die Verwendung von MQTT zur Steuerung zahlreicher Clients von einem zentralen Punkt aus in Kombination mit Routing über Cloudflare einen groß angelegten Betrieb durch eine unkonventionelle Kommunikationsmethode ermöglicht. Die Forscher fügten hinzu, dass sie glauben, dass die Zielausrichtung dieser Kampagne eine umfangreiche Datensammlung unterstützt: Mobile Apps und Smartwatches, die mit Mobilfunknetzen verbunden sind, könnten eine Analyse des Lebensmusters ermöglichen, die Zielausrichtung auf Finanzorganisationen könnte Transaktionsdaten offenlegen, und Angriffe auf Gastgewerbesysteme könnten Reiseverlauf und -pläne aufdecken. Für Organisationen, die gemischte Windows- und Linux-Flotten betreiben, bietet AEU-I sicherheitsorientierte IT- und Infrastrukturberatung an, um zu überprüfen, wie vertrauenswürdige Software geladen wird und wie ungewöhnliche Befehlskanäle überwacht werden.