Il malware BambooToken basato su MQTT prende di mira i sistemi Windows e Linux

Black Lotus Labs, il braccio di ricerca sulle minacce di Lumen Technologies, ha pubblicato i dettagli di una famiglia di malware precedentemente non documentata chiamata BambooToken che utilizza il protocollo di messaggistica MQTT per comandare sia sistemi Windows che Linux. I ricercatori affermano di aver scoperto il malware su VirusTotal all'inizio del 2026, con prove che indicano un attore di minaccia esperto che è riuscito a rimanere non rilevato fino ad ora. Attività legate al malware sono state rilevate fino a luglio 2026, e la prima attività nota risale almeno a febbraio 2023. Sono stati identificati obiettivi in Asia e Sud America, e il metodo di accesso iniziale utilizzato per distribuire BambooToken rimane indeterminato, secondo il rapporto condiviso con The Hacker News.

MQTT, abbreviazione di Message Queueing Telemetry Transport, è un protocollo di rete publish-subscribe leggero spesso utilizzato dai dispositivi Internet of Things per scambiare piccoli messaggi. Il suo uso come canale remoto di comando e controllo (C2) non è nuovo. Nel gennaio 2023, il gruppo di hacking nation-state cinese Mustang Panda è stato osservato utilizzare una backdoor chiamata MQsTTang che utilizzava il protocollo di messaggistica IoT per recuperare ed eseguire comandi su host compromessi. Altri esempi documentati includono il malware Android Tizi, che può raccogliere dati sensibili da app di messaggistica e social media e utilizzare HTTPS o MQTT per il C2, il loader di malware WailingCrab (noto anche come WikiLoader), distribuito tramite messaggi email a tema consegna e spedizione e attribuito al gruppo cybercriminale Bamboo Spider, e il malware per tecnologia operativa IOCONTROL (noto anche come OrpaCrab), che ha preso di mira sistemi IoT e SCADA in Israele e negli Stati Uniti.

Un elemento chiave della campagna è l'uso del software Tendyron OnKey per eseguire il sideloading di agenti su macchine mirate. Tendyron OnKey è un token USB di sicurezza e dispositivo di autenticazione Public Key Infrastructure (PKI) di seconda generazione progettato per proteggere transazioni bancarie e finanziarie online. Il fornitore afferma di avere 190 milioni di token in circolazione, e il suo sito web elenca clienti nei settori finanziario e governativo cinese, tra gli altri. Black Lotus Labs ha dichiarato che né il certificato di firma del codice di Tendyron né il suo ambiente di build sono stati compromessi in relazione all'attività. Invece, i ricercatori sospettano che gli operatori si affidino a un binario vulnerabile al DLL sideloading, una tecnica in cui un programma viene indotto a caricare un file di supporto malevolo dalla posizione sbagliata. Le versioni successive di BambooToken eseguono il sideload di una versione contraffatta di una DLL chiamata OnKeyToken_KEB.dll utilizzata dal programma Tendyron OnKeySrv. La maggior parte dei campioni di BambooToken è stata caricata su VirusTotal da spazio di indirizzi IP cinesi, il che secondo i ricercatori indica una campagna di raccolta dati mirata agli utenti in Cina e nei paesi vicini.

Le prime iterazioni dell'agente BambooToken funzionano estraendo il server C2 da un file .DAT, o ricadendo su un server hardcoded se il file non viene trovato. Il malware raccoglie quindi i dettagli del sistema e li invia al server C2 chat5188[.]tk. In risposta, il server invia comandi per caricare un plugin, arrestare tutti i plugin, terminare il malware e disconnettersi dal server C2. Le versioni successive del malware eseguono il sideload della DLL contraffatta OnKeyToken_KEB.dll per enumerare l'host ed entrare in un ciclo di comandi che utilizza MQTT per il C2. A partire da dicembre 2025, BambooToken si è ampliato per prendere di mira anche host Linux, continuando a fare affidamento su MQTT. Ryan English, ingegnere di sicurezza informatica presso Lumen Technologies Black Lotus Labs, ha dichiarato a The Hacker News che la prima versione di BambooToken è stata avviata tramite uno script PowerShell, utilizzando lo strumento di automazione di Windows per allocare memoria ed eseguire il file malevolo. English ha affermato che il team valuta che il sideloading probabilmente attiverebbe meno avvisi di endpoint detection and response (EDR), quindi man mano che la campagna si evolveva, le tattiche, tecniche e procedure dell'attore di minaccia sono cambiate.

BambooToken è equipaggiato per raccogliere ampie informazioni sull'host e fornire un plugin antivirus per Windows. Quel plugin utilizza il framework Windows Management Instrumentation (WMI) per raccogliere dettagli sui prodotti antivirus installati sulla macchina e esfiltrarli a un secondo server C2, api80.c2iznja[.]com. I domini utilizzavano Cloudflare come proxy per la loro infrastruttura. Un dominio associato alla campagna del 2025 è recentemente entrato nella top 500.000 dei domini su Cloudflare Radar, un servizio pubblico che traccia la popolarità dei domini e il traffico internet. Il dominio più vecchio si è classificato nella top 1 milione al picco delle operazioni nel 2024, indicando un'infezione diffusa attraverso le campagne per questo cluster di attività.

Black Lotus Labs ha anche identificato indirizzi IP geolocalizzati a Singapore, Cambogia e Vietnam che comunicano con uno dei nodi C2 attivi. Questi indirizzi IP corrispondono a router MikroTik e DrayTek. Una dozzina di entità compromesse è stata rilevata in Asia e Sud America. La stragrande maggioranza dei server compromessi è associata ad applicazioni mobili, oltre a un server GitLab a Hong Kong e un'azienda vietnamita che sviluppa un dispositivo portatile per la gestione dello stile di vita. Altri obiettivi includono un hotel in Vietnam, un'azienda biomedica in Argentina, uno studio legale in Cile, un sito web di criptovalute in Lituania e un'organizzazione finanziaria malese.

Al momento non è noto chi ci sia dietro l'attività. Tuttavia, Lumen ha affermato che l'uso del DLL sideloading, unito a una connessione VPN SoftEther proveniente da un Virtual Private Server (VPS) verso uno dei nodi C2, suggerisce un nesso con la Cina. Un altro punto sollevato da Lumen è che sia MQsTTang che BambooToken sono emersi nello stesso periodo all'inizio del 2023. Sebbene non vi siano prove di sovrapposizione tra i due cluster di attività di minaccia, Lumen ha affermato che è possibile che l'attore di minaccia possa aver preso spunto dal playbook di Mustang Panda per aggiornare il proprio malware a supportare MQTT nelle versioni future.

Lumen ha concluso che l'uso di MQTT per controllare numerosi client da un punto centrale, combinato con l'instradamento tramite Cloudflare, consente operazioni su larga scala attraverso un metodo di comunicazione non convenzionale. I ricercatori hanno aggiunto che ritengono che il targeting di questa campagna supporti un'ampia raccolta di dati: app mobili e smartwatch connessi a reti cellulari potrebbero consentire l'analisi dei modelli di vita, prendere di mira organizzazioni finanziarie potrebbe esporre dati sulle transazioni, e attaccare sistemi di ospitalità potrebbe rivelare cronologia e piani di viaggio. Per le organizzazioni che gestiscono flotte miste Windows e Linux, AEU-I offre consulenza IT e infrastrutturale security-first per aiutare a rivedere come viene caricato il software attendibile e come vengono monitorati canali di comando insoliti.