BambooToken nutzt MQTT zur Steuerung kompromittierter Windows- und Linux-Systeme

Eine bislang nicht dokumentierte Malware-Plattform namens BambooToken nutzt das Message Queuing Telemetry Transport Protocol, um kompromittierte Windows- und Linux-Systeme zu steuern.

Black Lotus Labs von Lumen Technologies entdeckte die Malware Anfang 2026 auf VirusTotal. Die Aktivitäten werden inzwischen mit kompromittierter Infrastruktur in Verbindung gebracht, über die mobile Anwendungen, Unternehmen aus dem Finanz- und Rechtswesen, Softwareentwickler, Hotels, biomedizinische Unternehmen und Kryptowährungsdienste betrieben wurden.

Die verfügbaren Zeitangaben weichen geringfügig voneinander ab. BleepingComputer berichtet, dass BambooToken mindestens seit 2023 aktiv ist, und beschreibt eine im Dezember 2025 beobachtete Linux-Version. The Hacker News zufolge begann die Kampagne spätestens im Februar 2023; zugehörige Aktivitäten wurden noch im Juli 2026 festgestellt.

Ein Bedrohungsakteur konnte bislang nicht eindeutig identifiziert werden. Black Lotus Labs hält die Auswahl der Ziele für vereinbar mit einer China-nahen Nachrichtendienstoperation, doch diese Einschätzung ist unbestätigt.

MQTT trennt infizierte Hosts von der Infrastruktur der Betreiber

Das prägende Merkmal von BambooToken ist der Einsatz von MQTT, einem leichtgewichtigen Publish-Subscribe-Protokoll, das häufig in Internet-of-Things-Umgebungen verwendet wird.

Statt dass jede infizierte Maschine eine herkömmliche direkte Sitzung mit einem von Angreifern betriebenen Command-Server aufrechterhält, kommuniziert BambooToken über einen MQTT-Broker. Jedes Implantat abonniert Topics, die mit einer eindeutigen Host-ID verknüpft sind. Die Betreiber veröffentlichen Befehle in diesen Topics, während die kompromittierten Systeme Statusmeldungen und gesammelte Informationen über den Broker übermitteln.

Diese Architektur bietet den Betreibern mehrere Vorteile. Befehle und Antworten können asynchron ausgetauscht werden, sodass ein Implantat die Kommunikation nach einer vorübergehenden Netzwerkunterbrechung wieder aufnehmen kann. Außerdem kann ein einzelner Broker zahlreiche kompromittierte Clients koordinieren, ohne für jeden Client eine separate Direktverbindung offenzulegen.

Die Architektur erschwert die defensive Analyse, da die Entdeckung eines MQTT-Endpunkts nicht zwangsläufig die dahinterliegende Infrastruktur der Betreiber preisgibt. Zudem wurden die zugehörigen Domains der Kampagne hinter Cloudflare platziert, wodurch ihre Herkunft weiter verschleiert wurde.

Frühe BambooToken-Agenten bezogen ihre Command-and-Control-Adresse aus einer .DAT-Datei und verwendeten einen fest kodierten Fallback, wenn diese Datei nicht verfügbar war. Nach dem Verbindungsaufbau sammelte das Implantat Informationen über den Host und übermittelte sie an chat5188[.]tk.

Die Betreiber konnten die Malware anschließend anweisen, ein Plugin zu laden, laufende Plugins zu beenden, sich selbst zu terminieren oder die Verbindung zum Command-Service zu trennen. Eine weitere Domain, api80.c2iznja[.]com, wurde zur Sammlung und Exfiltration von Informationen im Zusammenhang mit Antivirensoftware verwendet.

Black Lotus Labs beobachtete beträchtlichen Datenverkehr rund um die Infrastruktur. Eine mit der Kampagne von 2025 verbundene Domain schaffte es in die Top 500.000 der Domains im Cloudflare Radar, während eine ältere Domain während der Spitzenaktivität im Jahr 2024 die Top eine Million erreichte. Die Forscher werteten diese Sichtbarkeit als Hinweis darauf, dass die Kampagne möglicherweise Systeme in erheblichem Umfang infiziert hatte.

Betreiber wechselten von PowerShell zu DLL-Sideloading

Die früheste identifizierte BambooToken-Version nutzte einen PowerShell-Stager, der Speicher reservierte und die schädliche Payload ausführte. Später wechselte die Kampagne offenbar zum DLL-Sideloading, weil die Betreiber davon ausgingen, dass dadurch weniger Warnungen von Endpoint Detection and Response ausgelöst würden.

Spätere Windows-Varianten verwenden das legitime Programm Tendyron OnKeySrv, um eine schädliche Bibliothek namens OnKeyToken_KEB.dll zu laden. Nach dem Laden erfasst die DLL Informationen über den Host und tritt in die MQTT-Befehlsschleife ein.

Tendyron OnKey ist ein Public-Key-Infrastructure-USB-Token- und Authentifizierungsprodukt, das für den Zugriff auf Workstations, Bankgeschäfte und Finanztransaktionen verwendet wird. Der Hersteller gibt an, dass 190 Millionen Tokens im Umlauf sind, darunter auch bei Finanz- und Regierungsorganisationen in China.

Es gibt keine Hinweise darauf, dass das Code-Signing-Zertifikat oder die Build-Umgebung von Tendyron kompromittiert wurden. Die dokumentierte Technik scheint stattdessen eine legitime Binärdatei zu missbrauchen, die eine schädliche DLL von einem von Angreifern kontrollierten Speicherort laden kann.

BambooToken wurde Berichten zufolge außerdem verbreitet, indem die Office-Produktivitätssuite Kingsoft Office imitiert wurde. Der ursprüngliche Angriffsvektor der Kampagne ist jedoch weiterhin unbekannt. Die Ermittler konnten nicht feststellen, wie die Angreifer zunächst in die einzelnen betroffenen Umgebungen gelangten, bevor sie den Stager ausführten oder die Sideloading-Kette einrichteten.

Welche konkreten Tendyron-OnKey-Versionen verwundbar oder betroffen sind, wurde nicht offengelegt. Es wurde weder eine CVE-ID, ein Hersteller-Patch, ein CVSS-Score noch eine formale Schweregradbewertung gemeldet. Außerdem wird die Aktivität nicht als Eintrag im Katalog der von CISA bekannten ausgenutzten Schwachstellen beschrieben.

Windows-Plugins und Linux 2.1 ermöglichen umfangreiche Datensammlung

BambooToken ist modular aufgebaut, sodass die Betreiber eine Infektion durch das Laden zusätzlicher Komponenten erweitern können. Ein wiederhergestelltes Windows-Plugin nutzte Windows Management Instrumentation, um installierte Antivirenprodukte zu ermitteln und die Ergebnisse an die Command-Infrastruktur zurückzugeben.

Die Forscher fanden außerdem Zeichenfolgen, die auf Keylogging, das Auslesen der Zwischenablage, Mikrofonaufnahmen, Webcam-Zugriff und die Erstellung von Screenshots hinweisen. Diese Verweise befanden sich jedoch in einem inaktiven Abschnitt des .rdata-Datenbereichs der Binärdatei.

Daher ist nicht bestätigt, dass die Betreiber von BambooToken diese Überwachungsfunktionen eingesetzt haben. Es könnte sich um aufgegebene Funktionen, eine nicht abgeschlossene Entwicklung oder Module handeln, die in den untersuchten Samples nicht enthalten waren.

Ein als BambooToken Version 2.1 identifizierter Linux-Build wurde im Dezember 2025 beobachtet. Er behielt den MQTT-basierten Steuerkanal bei und sammelte gleichzeitig umfangreiche Informationen über den infizierten Host.

Das Linux-Implantat kann eine Command Shell öffnen und unterstützt das Hochladen, Herunterladen und Löschen von Dateien. Diese Funktionen ermöglichen einem Betreiber den direkten Zugriff auf Daten und schaffen Möglichkeiten, zusätzliche Tools zu installieren oder Spuren zu beseitigen. Black Lotus Labs bewertete das wiederhergestellte Linux-Sample als offenbar noch in der Entwicklung befindlich.

Die plattformübergreifende Unterstützung vergrößert die Reichweite der Kampagne. Angreifer können sowohl Arbeitsstationen von Mitarbeitern als auch Backend-Server, Entwicklungssysteme und unter Linux laufende Anwendungsinfrastrukturen kompromittieren.

Kompromittierte Unternehmen erstrecken sich über Asien und Südamerika

Die Telemetrie von Lumen identifizierte etwa ein Dutzend kompromittierter Unternehmen, vorwiegend in Asien und Südamerika. Dazu gehörten Backend-Systeme für mobile Anwendungen, ein Hotel in Vietnam, ein vietnamesischer Entwickler eines tragbaren Geräts für das Lifestyle-Management, ein biomedizinisches Unternehmen in Argentinien und eine chilenische Anwaltskanzlei.

Weitere betroffene Infrastrukturen waren ein malaysisches Finanzunternehmen, eine Kryptowährungs-Website in Litauen und ein GitLab-Server in Hongkong. Der Zugriff auf eine Entwicklungsplattform wie GitLab könnte einen Weg zu Quellcode, Zugangsdaten, Build-Prozessen oder nachgelagerten Softwarebenutzern eröffnen. Ein daraus resultierender Supply-Chain-Angriff wurde jedoch nicht bestätigt.

Die Forscher identifizierten außerdem IP-Adressen in Singapur, Kambodscha und Vietnam, die mit einem aktiven Command Node kommunizierten. Die Adressen gehörten zu MikroTik- und DrayTek-Routern. Dies zeigt, dass sich die beobachtete Infrastruktur nicht auf herkömmliche Windows- und Linux-Endpunkte beschränkte.

Die meisten BambooToken-Samples, die auf VirusTotal hochgeladen wurden, stammten aus chinesischem IP-Adressraum. Dieses Muster steht im Einklang mit einer Datensammlungsoperation, die auf Nutzer in China und den Nachbarländern ausgerichtet ist. Die Geografie der Sample-Uploads allein lässt jedoch keine Rückschlüsse auf die Identität der Betreiber zu.

Ein Teil der Aktivitäten könnte außerdem chinesische Nutzer im Ausland betroffen haben, die über den VPN-Dienst SpeedCN auf Dienste auf dem chinesischen Festland zugriffen.

Die Auswahl der Opfer deutet auf einen nachrichtendienstlichen Nutzen hin. Mobile Anwendungen und vernetzte Geräte können Verhaltensmuster offenlegen, während Hotels möglicherweise Reisedaten enthalten. In Rechts- und Finanzumgebungen können vertrauliche Kommunikation, Transaktionsinformationen und Identitätsdaten gespeichert sein.

Zuordnung zu China-nahen Akteuren bleibt eine Einschätzung

Black Lotus Labs konnte BambooToken bislang keiner namentlich bekannten Gruppe oder einem etablierten Intrusionscluster zuordnen. Die Einschätzung stützt sich auf die Auswahl der Ziele sowie auf mehrere technische und infrastrukturelle Indikatoren.

Dazu zählen die Konzentration der Samples im chinesischen Adressraum, der Einsatz von DLL-Sideloading und eine SoftEther-VPN-Verbindung von einem Virtual Private Server zu einem der Command Nodes.

BambooToken trat außerdem etwa im selben Zeitraum wie MQsTTang auf, eine mit Mustang Panda verbundene MQTT-basierte Backdoor. Die Forscher fanden keine Überschneidungen im operativen Vorgehen der beiden Cluster. Eine Möglichkeit wäre, dass die Entwickler von BambooToken MQTT übernahmen, nachdem sie dessen Einsatz an anderer Stelle beobachtet hatten. Belege für einen solchen Zusammenhang gibt es jedoch nicht.

Im Vergleich zu HTTP, HTTPS oder direkten TCP-Kanälen wird MQTT in Malware weiterhin relativ selten eingesetzt. Seine legitime Verwendung in IoT- und Messaging-Umgebungen kann jedoch dazu beitragen, dass sich schädlicher Datenverkehr in Netzwerken tarnt, in denen das Protokoll erwartet wird.

Verteidiger sollten nach Sideloading und unerwartetem MQTT suchen

Organisationen, die Tendyron-OnKey-Software einsetzen, sollten OnKeySrv-Installationen auf nicht signierte, kürzlich eingeführte oder unerwartete DLLs prüfen, insbesondere auf Dateien mit dem Namen OnKeyToken_KEB.dll. Sicherheitsteams sollten außerdem die Telemetrie zum Laden von Modulen, ungewöhnliche Child-Prozesse und die Ausführung aus benutzerbeschreibbaren Verzeichnissen untersuchen.

Die Netzwerküberwachung sollte Windows- oder Linux-Server identifizieren, die MQTT-Verbindungen aufbauen, obwohl es für sie keinen betrieblichen Grund gibt, das Protokoll zu verwenden. Ermittler sollten ungewöhnliche Broker-Ziele, Topic-Abonnements, Publishing-Aktivitäten und wiederholte Verbindungsaufbauversuche untersuchen.

Weitere Verhaltensweisen, die untersucht werden sollten, sind:

• Verbindungen zu chat5188[.]tk oder api80.c2iznja[.]com
• PowerShell-Prozesse, die vor der Ausführung eingebetteten oder abgerufenen Codes Speicher reservieren
• WMI-Abfragen zur Ermittlung installierter Antivirenprodukte
• Unerwartete Shells oder Dateiübertragungen auf Linux-Servern
• SoftEther-VPN-Datenverkehr zwischen VPS-Infrastruktur und mutmaßlichen Command Nodes
• Nicht erklärbare Kommunikation von MikroTik- oder DrayTek-Routern
• Über Cloudflare geleiteter Datenverkehr, der mit anderen BambooToken-Indikatoren korreliert

Cloudflare-Datenverkehr allein ist kein zuverlässiger Indikator, da der Dienst große Mengen legitimer Infrastruktur unterstützt. Auch MQTT-Aktivitäten sollten stets im Zusammenhang mit der normalen Funktion des jeweiligen Systems bewertet werden.

Da kein Patch veröffentlicht und keine betroffene OnKey-Version bestätigt wurde, müssen sich Verteidiger derzeit auf verhaltensbasierte Erkennung, DLL-Integritätsprüfungen, Netzwerktelemetrie und Untersuchungen an den Endpunkten stützen. Systeme für Entwicklung, Finanzwesen, Hotellerie, mobile Anwendungen und vernetzte Geräte verdienen besondere Aufmerksamkeit.