BambooToken usa MQTT per controllare sistemi Windows e Linux compromessi

Un framework malware finora mai documentato, denominato BambooToken, utilizza il protocollo Message Queuing Telemetry Transport per controllare macchine Windows e Linux compromesse.

Black Lotus Labs di Lumen Technologies ha individuato il malware su VirusTotal all'inizio del 2026. Da allora, l'attività è stata associata a infrastrutture compromesse che fornivano servizi ad applicazioni mobili, organizzazioni finanziarie e legali, sviluppatori software, hotel, aziende biomediche e servizi di criptovaluta.

Le cronologie disponibili differiscono leggermente. Secondo BleepingComputer, BambooToken è operativo almeno dal 2023 e una versione Linux è stata osservata nel dicembre 2025. The Hacker News riferisce che la campagna è iniziata al più tardi nel febbraio 2023, mentre attività correlate sono state rilevate ancora nel luglio 2026.

Nessun threat actor è stato identificato in modo conclusivo. Black Lotus Labs ritiene che gli obiettivi siano compatibili con un'operazione di intelligence allineata alla Cina, ma questa valutazione non è stata confermata.

MQTT separa gli host infetti dall'infrastruttura degli operatori

La caratteristica distintiva di BambooToken è l'uso di MQTT, un protocollo leggero basato sul modello publish-subscribe, comunemente impiegato negli ambienti Internet of Things.

Anziché mantenere una sessione diretta convenzionale con un server di comando gestito dagli attaccanti, ogni macchina infetta comunica tramite un broker MQTT. Ogni impianto sottoscrive i topic associati a un identificativo univoco dell'host. Gli operatori pubblicano le istruzioni su questi topic, mentre i sistemi compromessi inviano tramite il broker messaggi di stato e informazioni raccolte.

Questa configurazione offre diversi vantaggi agli operatori. Comandi e risposte possono essere scambiati in modo asincrono, consentendo a un impianto di riprendere le comunicazioni dopo una temporanea interruzione di rete. Inoltre, un singolo broker può coordinare numerosi client compromessi senza esporre una connessione diretta separata per ciascuno.

Questa architettura complica l'analisi difensiva, perché l'individuazione di un endpoint MQTT non rivela necessariamente l'infrastruttura sottostante degli operatori. La campagna ha inoltre collocato i domini associati dietro Cloudflare, oscurandone ulteriormente l'origine.

I primi agenti BambooToken ricavavano l'indirizzo di comando e controllo da un file .DAT e utilizzavano un indirizzo di fallback hard-coded quando il file non era disponibile. Dopo la connessione, l'impianto raccoglieva informazioni sull'host e le trasmetteva a chat5188[.]tk.

Gli operatori potevano quindi ordinare al malware di caricare un plugin, arrestare quelli in esecuzione, terminare la propria esecuzione o disconnettersi dal servizio di comando. Un altro dominio, api80.c2iznja[.]com, veniva utilizzato per la raccolta e l'esfiltrazione di informazioni relative agli antivirus.

Black Lotus Labs ha osservato un traffico consistente attorno all'infrastruttura. Un dominio collegato alla campagna del 2025 è entrato tra i 500.000 domini più visitati secondo Cloudflare Radar, mentre un dominio più vecchio ha raggiunto il primo milione durante il picco dell'attività nel 2024. I ricercatori hanno interpretato questa visibilità come un'indicazione del fatto che la campagna potrebbe aver infettato sistemi su scala significativa.

Gli operatori sono passati da PowerShell al DLL sideloading

La prima versione identificata di BambooToken utilizzava uno stager PowerShell che allocava memoria ed eseguiva il payload dannoso. In seguito, la campagna è passata al DLL sideloading, probabilmente perché gli operatori ritenevano che questa tecnica avrebbe generato meno alert da parte delle soluzioni endpoint detection and response.

Le varianti Windows più recenti utilizzano il programma legittimo Tendyron OnKeySrv per caricare una libreria dannosa denominata OnKeyToken_KEB.dll. Una volta caricata, la DLL esegue l'inventario dell'host e avvia il ciclo di comandi MQTT.

Tendyron OnKey è un prodotto basato su token USB per la Public Key Infrastructure e l'autenticazione, utilizzato per l'accesso alle workstation, le operazioni bancarie e le transazioni finanziarie. Il produttore dichiara che sono in circolazione 190 milioni di token, anche presso clienti finanziari e governativi in Cina.

Non ci sono prove che il certificato di firma del codice o l'ambiente di compilazione di Tendyron siano stati compromessi. La tecnica documentata sembra invece sfruttare un binario legittimo in grado di caricare una DLL dannosa da una posizione controllata dagli attaccanti.

Secondo quanto riportato, BambooToken è stato distribuito anche impersonando la suite di produttività Kingsoft Office. Tuttavia, il vettore di accesso originario della campagna resta sconosciuto. Gli investigatori non hanno stabilito in che modo gli attaccanti riescano inizialmente a raggiungere ogni ambiente interessato prima di eseguire lo stager o predisporre la catena di sideloading.

Non sono state rese note le versioni esatte del software Tendyron OnKey vulnerabili o interessate. Non sono stati riportati identificativi CVE, patch del vendor, punteggi CVSS o valutazioni formali della gravità, e l'attività non è descritta come una voce del catalogo CISA Known Exploited Vulnerabilities.

I plugin Windows e Linux 2.1 consentono un'ampia raccolta di dati

BambooToken ha una struttura modulare, che consente agli operatori di estendere un'infezione caricando componenti aggiuntivi. Un plugin Windows recuperato utilizzava Windows Management Instrumentation per elencare i prodotti antivirus installati e restituire i risultati all'infrastruttura di comando.

I ricercatori hanno inoltre trovato stringhe riferite a keylogging, furto del contenuto degli appunti, registrazione dal microfono, accesso alla webcam e acquisizione di screenshot. Tuttavia, tali riferimenti comparivano in una sezione inattiva dei dati .rdata del binario.

Di conseguenza, non è confermato che gli operatori di BambooToken abbiano distribuito queste funzioni di sorveglianza. Potrebbero rappresentare funzionalità abbandonate, attività di sviluppo non completate o moduli non presenti nei campioni disponibili per l'analisi.

Una build Linux identificata come BambooToken versione 2.1 è stata osservata nel dicembre 2025. Manteneva il canale di controllo basato su MQTT e raccoglieva un'ampia quantità di informazioni sull'host infetto.

L'impianto Linux può aprire una shell di comandi e supporta il caricamento, il download e l'eliminazione di file. Queste funzioni offrono all'operatore accesso diretto ai dati e la possibilità di installare strumenti aggiuntivi o rimuovere le tracce. Black Lotus Labs ha valutato che il campione Linux recuperato sembrava essere ancora in fase di sviluppo.

Il supporto multipiattaforma amplia la portata della campagna. Gli attaccanti possono colpire le workstation dei dipendenti e, allo stesso tempo, compromettere server backend, sistemi di sviluppo e infrastrutture applicative che eseguono Linux.

Le aziende compromesse si estendono dall'Asia al Sud America

La telemetria di Lumen ha identificato circa una dozzina di realtà aziendali compromesse, principalmente in Asia e Sud America. Tra queste figuravano sistemi backend per applicazioni mobili, un hotel in Vietnam, uno sviluppatore vietnamita di un dispositivo portatile per la gestione dello stile di vita, un'azienda biomedica argentina e uno studio legale cileno.

Tra le altre infrastrutture interessate figuravano un'organizzazione finanziaria malese, un sito web di criptovalute in Lituania e un server GitLab a Hong Kong. L'accesso a una piattaforma di sviluppo come GitLab potrebbe offrire un percorso verso il codice sorgente, le credenziali, i processi di build o gli utenti dei software distribuiti, anche se non è stato confermato alcun attacco alla supply chain conseguente.

I ricercatori hanno inoltre identificato indirizzi IP a Singapore, in Cambogia e in Vietnam che comunicavano con un nodo di comando attivo. Tali indirizzi corrispondevano a router MikroTik e DrayTek, indicando che l'infrastruttura osservata non era limitata ai tradizionali endpoint Windows e Linux.

La maggior parte dei campioni BambooToken caricati su VirusTotal proveniva da spazi di indirizzi IP cinesi. Questo schema è compatibile con un'operazione di raccolta dati rivolta agli utenti in Cina e nei Paesi confinanti, anche se la sola provenienza geografica dei campioni non può stabilire l'identità degli operatori.

Alcune attività potrebbero inoltre aver coinvolto utenti cinesi all'estero che accedevano ai servizi della Cina continentale tramite il servizio VPN SpeedCN.

La selezione delle vittime suggerisce un potenziale valore per le attività di intelligence. Le applicazioni mobili e i dispositivi connessi possono rivelare modelli comportamentali, mentre i sistemi alberghieri possono contenere dati sui viaggi. Gli ambienti legali e finanziari possono custodire comunicazioni riservate, informazioni sulle transazioni e dati identificativi.

L'attribuzione alla Cina resta un'ipotesi

Black Lotus Labs non ha collegato BambooToken a un gruppo noto né a un cluster di intrusioni già identificato. La valutazione si basa sulla selezione degli obiettivi e su diversi indicatori tecnici o legati all'infrastruttura.

Tra questi figurano la concentrazione dei campioni nello spazio di indirizzi cinesi, l'uso del DLL sideloading e una connessione SoftEther VPN da un server privato virtuale a uno dei nodi di comando.

BambooToken è inoltre comparso nello stesso periodo di MQsTTang, una backdoor basata su MQTT associata a Mustang Panda. I ricercatori non hanno rilevato sovrapposizioni operative tra i due cluster. Una possibilità è che gli sviluppatori di BambooToken abbiano adottato MQTT dopo averne osservato l'uso altrove, ma non ci sono prove che dimostrino questa relazione.

Rispetto ai canali HTTP, HTTPS o TCP puro, MQTT resta relativamente raro nel malware. Il suo utilizzo legittimo negli ambienti IoT e di messaggistica può tuttavia aiutare il traffico dannoso a confondersi nelle reti in cui il protocollo è previsto.

I difensori devono cercare sideloading e connessioni MQTT inattese

Le organizzazioni che eseguono il software Tendyron OnKey dovrebbero esaminare le installazioni di OnKeySrv alla ricerca di DLL non firmate, introdotte di recente o inattese, in particolare dei file denominati OnKeyToken_KEB.dll. I team di sicurezza dovrebbero inoltre analizzare la telemetria del caricamento dei moduli, i processi figlio anomali e le esecuzioni da directory scrivibili dagli utenti.

Il monitoraggio della rete dovrebbe individuare i server Windows o Linux che effettuano connessioni MQTT senza una ragione operativa per utilizzare il protocollo. Gli investigatori dovrebbero verificare destinazioni insolite dei broker, sottoscrizioni ai topic, attività di pubblicazione e schemi di riconnessione ripetuti.

Tra i comportamenti che meritano ulteriori verifiche figurano:

• Connessioni che coinvolgono chat5188[.]tk o api80.c2iznja[.]com
• Processi PowerShell che allocano memoria prima di eseguire codice incorporato o recuperato
• Query WMI che enumerano i prodotti antivirus installati
• Shell o trasferimenti di file inattesi sui server Linux
• Traffico SoftEther VPN tra infrastrutture VPS e presunti nodi di comando
• Comunicazioni non spiegate provenienti da router MikroTik o DrayTek
• Traffico instradato tramite Cloudflare correlato ad altri indicatori di BambooToken

Il traffico Cloudflare, da solo, non è un indicatore affidabile, perché il servizio supporta grandi quantità di infrastrutture legittime. Anche l'attività MQTT deve essere valutata in base al ruolo abituale di ciascun sistema.

In assenza di una patch resa pubblica o di una versione di OnKey confermata come interessata, i difensori devono attualmente affidarsi al rilevamento basato sui comportamenti, ai controlli di integrità delle DLL, alla telemetria di rete e alle analisi degli endpoint. I sistemi che supportano attività di sviluppo, finanza, ospitalità, applicazioni mobili e dispositivi connessi richiedono particolare attenzione.