BambooToken utilise MQTT pour contrôler des systèmes Windows et Linux compromis

Un framework malveillant jusque-là non documenté, baptisé BambooToken, utilise le protocole Message Queuing Telemetry Transport pour contrôler des machines Windows et Linux compromises.

Les Black Lotus Labs de Lumen Technologies ont découvert ce malware sur VirusTotal au début de 2026. L’activité a depuis été associée à des infrastructures compromises hébergeant des applications mobiles ainsi qu’à des organisations financières et juridiques, des développeurs de logiciels, des hôtels, des entreprises biomédicales et des services liés aux cryptomonnaies.

Les chronologies disponibles présentent de légères différences. Selon BleepingComputer, BambooToken serait actif depuis au moins 2023 et une version Linux aurait été observée en décembre 2025. The Hacker News indique que la campagne a commencé au plus tard en février 2023 et que des activités connexes ont encore été détectées en juillet 2026.

Aucun acteur malveillant n’a été identifié de manière concluante. Les Black Lotus Labs estiment que le ciblage est compatible avec une opération de renseignement alignée sur les intérêts chinois, mais cette évaluation reste à confirmer.

MQTT sépare les hôtes infectés de l’infrastructure des opérateurs

La principale caractéristique de BambooToken est son utilisation de MQTT, un protocole léger de publication-abonnement couramment déployé dans les environnements Internet des objets.

Au lieu que chaque machine infectée maintienne une session directe classique avec un serveur de commande contrôlé par l’attaquant, BambooToken communique par l’intermédiaire d’un broker MQTT. Chaque implant s’abonne à des topics associés à un identifiant d’hôte unique. Les opérateurs publient leurs instructions sur ces topics, tandis que les systèmes compromis envoient leurs messages d’état et les informations collectées via le broker.

Cette architecture offre plusieurs avantages aux opérateurs. Les commandes et les réponses peuvent être échangées de manière asynchrone, ce qui permet à un implant de reprendre ses communications après une interruption temporaire du réseau. Un seul broker peut également coordonner de nombreux clients compromis sans exposer une connexion directe distincte pour chacun d’eux.

Cette architecture complique l’analyse défensive, car la découverte d’un endpoint MQTT ne révèle pas nécessairement l’infrastructure sous-jacente des opérateurs. La campagne a également placé les domaines associés derrière Cloudflare, ce qui masque davantage leur origine.

Les premiers agents BambooToken récupéraient leur adresse de commande et de contrôle dans un fichier .DAT et utilisaient une adresse de secours codée en dur lorsque ce fichier était indisponible. Après sa connexion, l’implant collectait des informations sur l’hôte et les transmettait à chat5188[.]tk.

Les opérateurs pouvaient ensuite demander au malware de charger un plugin, d’arrêter les plugins en cours d’exécution, de se terminer ou de se déconnecter du service de commande. Un autre domaine, api80.c2iznja[.]com, servait à la collecte et à l’exfiltration d’informations liées aux antivirus.

Les Black Lotus Labs ont observé un trafic important autour de cette infrastructure. Un domaine associé à la campagne de 2025 a figuré parmi les 500 000 domaines les plus visités selon Cloudflare Radar, tandis qu’un domaine plus ancien a atteint le top million au plus fort de l’activité en 2024. Les chercheurs ont interprété cette visibilité comme un indice suggérant que la campagne pourrait avoir infecté des systèmes à grande échelle.

Les opérateurs passent de PowerShell au DLL sideloading

La première version identifiée de BambooToken utilisait un stager PowerShell qui allouait de la mémoire et exécutait la charge utile malveillante. La campagne s’est ensuite orientée vers le DLL sideloading, apparemment parce que les opérateurs estimaient que cette technique déclencherait moins d’alertes des solutions de détection et de réponse sur les endpoints.

Les variantes Windows plus récentes utilisent le programme légitime Tendyron OnKeySrv pour charger une bibliothèque malveillante nommée OnKeyToken_KEB.dll. Une fois chargée, la DLL dresse l’inventaire de l’hôte et entre dans la boucle de commande MQTT.

Tendyron OnKey est un produit d’authentification et de PKI sur clé USB utilisé pour l’accès aux postes de travail ainsi que pour les opérations bancaires et financières. Son fabricant affirme que 190 millions de tokens sont en circulation, notamment auprès de clients financiers et gouvernementaux en Chine.

Rien n’indique que le certificat de signature de code ou l’environnement de compilation de Tendyron aient été compromis. La technique documentée semble plutôt détourner un binaire légitime capable de charger une DLL malveillante depuis un emplacement contrôlé par l’attaquant.

BambooToken aurait également été distribué en usurpant la suite bureautique Kingsoft Office. Le vecteur d’accès initial de la campagne reste toutefois inconnu. Les enquêteurs n’ont pas établi comment les attaquants accèdent pour la première fois à chaque environnement touché avant d’exécuter le stager ou de mettre en place la chaîne de sideloading.

Les versions exactes du logiciel Tendyron OnKey vulnérables ou concernées n’ont pas été divulguées. Aucun identifiant CVE, correctif éditeur, score CVSS ou niveau de gravité officiel n’a été signalé, et l’activité n’est pas décrite comme une entrée du catalogue CISA Known Exploited Vulnerabilities.

Les plugins Windows et Linux 2.1 permettent une collecte étendue

BambooToken adopte une architecture modulaire qui permet aux opérateurs d’étendre une infection en chargeant des composants supplémentaires. Un plugin Windows récupéré utilisait Windows Management Instrumentation pour énumérer les produits antivirus installés et transmettre les résultats à l’infrastructure de commande.

Les chercheurs ont également trouvé des chaînes faisant référence à l’enregistrement des frappes, au vol du contenu du presse-papiers, à l’enregistrement via le microphone, à l’accès à la webcam et à la capture d’écran. Ces références apparaissaient toutefois dans une section inactive des données .rdata du binaire.

Il n’est donc pas confirmé que les opérateurs de BambooToken aient déployé ces fonctions de surveillance. Il pourrait s’agir de fonctionnalités abandonnées, d’un développement inachevé ou de modules absents des échantillons disponibles pour l’analyse.

Une version Linux identifiée comme BambooToken 2.1 a été observée en décembre 2025. Elle conservait son canal de contrôle fondé sur MQTT tout en collectant de nombreuses informations sur l’hôte infecté.

L’implant Linux peut ouvrir un shell de commande et prend en charge l’envoi, le téléchargement et la suppression de fichiers. Ces fonctions donnent à un opérateur un accès direct aux données et lui permettent d’installer d’autres outils ou d’effacer des traces. Les Black Lotus Labs ont estimé que l’échantillon Linux récupéré semblait encore en cours de développement.

La prise en charge multiplateforme élargit la portée de la campagne. Les attaquants peuvent cibler les postes de travail des employés tout en compromettant des serveurs backend, des systèmes de développement et des infrastructures applicatives fonctionnant sous Linux.

Des entreprises compromises en Asie et en Amérique du Sud

Les données de télémétrie de Lumen ont permis d’identifier environ une douzaine d’entités professionnelles compromises, principalement en Asie et en Amérique du Sud. Il s’agissait notamment de systèmes backend d’applications mobiles, d’un hôtel au Vietnam, d’un développeur vietnamien d’un appareil portable de gestion du mode de vie, d’une entreprise biomédicale en Argentine et d’un cabinet juridique chilien.

Parmi les autres infrastructures touchées figuraient une organisation financière malaisienne, un site de cryptomonnaie en Lituanie et un serveur GitLab à Hong Kong. L’accès à une plateforme de développement telle que GitLab pourrait ouvrir la voie vers le code source, les identifiants, les processus de build ou les utilisateurs des logiciels en aval, même aucune attaque de la chaîne d’approvisionnement n’ait été confirmée à ce jour.

Les chercheurs ont également identifié des adresses IP à Singapour, au Cambodge et au Vietnam qui communiquaient avec un nœud de commande actif. Ces adresses correspondaient à des routeurs MikroTik et DrayTek, ce qui indique que l’infrastructure observée ne se limitait pas aux endpoints Windows et Linux classiques.

La plupart des échantillons BambooToken envoyés à VirusTotal provenaient d’espaces d’adresses IP chinois. Ce schéma est compatible avec une opération de collecte de données visant des utilisateurs en Chine et dans les pays voisins, même si la géographie des envois d’échantillons ne suffit pas à établir l’identité de l’opérateur.

Certaines activités pourraient également avoir concerné des utilisateurs chinois installés à l’étranger qui accédaient à des services de Chine continentale via le service VPN SpeedCN.

Le choix des victimes suggère une finalité de collecte de renseignements. Les applications mobiles et les appareils connectés peuvent révéler des habitudes, tandis que les systèmes hôteliers peuvent contenir des données de voyage. Les environnements juridiques et financiers peuvent renfermer des communications confidentielles, des informations transactionnelles et des données d’identité.

L’attribution à un acteur aligné sur la Chine reste une hypothèse

Les Black Lotus Labs n’ont pas relié BambooToken à un groupe identifié ni à un cluster d’intrusion établi. Leur évaluation repose sur le ciblage de la campagne ainsi que sur plusieurs indicateurs techniques ou liés à l’infrastructure.

Parmi ces éléments figurent la concentration des échantillons dans l’espace d’adresses chinois, l’utilisation du DLL sideloading et une connexion VPN SoftEther entre un serveur privé virtuel et l’un des nœuds de commande.

BambooToken est également apparu à peu près à la même période que MQsTTang, une porte dérobée fondée sur MQTT et associée à Mustang Panda. Les chercheurs n’ont constaté aucun chevauchement opérationnel entre les deux clusters. Une possibilité est que les développeurs de BambooToken aient adopté MQTT après avoir observé son utilisation ailleurs, mais rien ne permet de démontrer cette relation.

MQTT reste relativement peu courant dans les malwares par rapport aux canaux HTTP, HTTPS ou TCP brut. Son utilisation légitime dans les environnements IoT et de messagerie peut néanmoins aider le trafic malveillant à se fondre dans des réseaux où ce protocole est attendu.

Les équipes de défense doivent rechercher le sideloading et les connexions MQTT inhabituelles

Les organisations qui utilisent le logiciel Tendyron OnKey doivent examiner les installations d’OnKeySrv à la recherche de DLL non signées, récemment introduites ou inattendues, en particulier de fichiers nommés OnKeyToken_KEB.dll. Les équipes de sécurité doivent également analyser la télémétrie du chargement des modules, les processus enfants inhabituels et les exécutions depuis des répertoires accessibles en écriture par les utilisateurs.

La supervision réseau doit permettre d’identifier les serveurs Windows ou Linux qui établissent des connexions MQTT sans raison opérationnelle de recourir à ce protocole. Les enquêteurs doivent examiner les destinations de broker inhabituelles, les abonnements à des topics, les activités de publication et les reconnexions répétées.

Les comportements suivants méritent également une investigation :

• Connexions impliquant chat5188[.]tk ou api80.c2iznja[.]com
• Processus PowerShell qui allouent de la mémoire avant d’exécuter du code intégré ou récupéré
• Requêtes WMI énumérant les produits antivirus installés
• Shells ou transferts de fichiers inattendus sur des serveurs Linux
• Trafic SoftEther VPN entre une infrastructure VPS et des nœuds de commande présumés
• Communications inexpliquées provenant de routeurs MikroTik ou DrayTek
• Trafic passant par Cloudflare et corrélé à d’autres indicateurs de BambooToken

Le trafic Cloudflare ne constitue pas à lui seul un indicateur fiable, car le service prend en charge d’importants volumes d’infrastructures légitimes. L’activité MQTT doit elle aussi être évaluée au regard du rôle habituel de chaque système.

En l’absence de correctif publié ou de version OnKey concernée confirmée, les équipes de défense doivent actuellement s’appuyer sur la détection comportementale, les contrôles d’intégrité des DLL, la télémétrie réseau et l’analyse des endpoints. Les systèmes utilisés pour le développement, la finance, l’hôtellerie, les applications mobiles et les appareils connectés nécessitent une attention particulière.