BambooToken-Malware kontrolliert Windows- und Linux-Systeme über MQTT

Ein bisher nicht dokumentiertes Malware-Framework namens BambooToken nutzt das MQTT-Messaging-Protokoll, um kompromittierte Windows- und Linux-Systeme zu kontrollieren. Forscher haben Infektionen in mehreren Branchen identifiziert, darunter Finanzwesen, Rechtsdienstleistungen, Gastgewerbe und Softwareentwicklung.

Die Kampagne läuft mindestens seit 2023. Die Betreiber begannen jedoch, Varianten, die zwischen 2024 und 2025 entwickelt wurden, um MQTT-basierte Command-and-Control-Funktionen zu erweitern.

BambooToken nutzt ein IoT-Messaging-Protokoll

Message Queuing Telemetry Transport, allgemein als MQTT bekannt, ist ein leichtgewichtiges Messaging-Protokoll. Entwickler nutzen es hauptsächlich zum Austausch von Informationen zwischen Internet-of-Things-Geräten.

Die MQTT-Kommunikation basiert auf einem zentralen Broker statt auf direkten Verbindungen zwischen einzelnen Systemen. Geräte veröffentlichen Nachrichten in Kanälen, die als Topics bezeichnet werden, während andere Geräte diese Topics abonnieren.

Die BambooToken-Malware nutzt dieselbe Struktur für schädliche Kommunikation. Jeder infizierte Computer abonniert Topics, die mit einer eindeutigen Kennung verknüpft sind.

Der Angreifer veröffentlicht über den MQTT-Broker Befehle in diesen Topics. Gleichzeitig sendet das infizierte System seinen Status und technische Informationen über dieselbe Infrastruktur zurück.

MQTT hilft Angreifern, ihre Infrastruktur zu verbergen

Die Nutzung von MQTT bietet den Betreibern mehrere Vorteile. Vor allem müssen sich infizierte Computer nicht direkt mit einem vom Angreifer kontrollierten Server verbinden.

Stattdessen leitet der MQTT-Broker Anweisungen und Antworten weiter. Diese Trennung erschwert es Verteidigern, die ursprüngliche Infrastruktur der Betreiber zu identifizieren.

Das Protokoll unterstützt außerdem asynchrone Kommunikation. Daher kann die Malware auch dann weiterarbeiten, wenn vorübergehende Netzwerkprobleme die Verbindung unterbrechen.

MQTT ist nicht neu, wird von Malware-Entwicklern jedoch seltener eingesetzt als traditionelle Webprotokolle. Forscher dokumentierten bereits 2023 eine nicht damit zusammenhängende Backdoor namens MQsTTang, die eine ähnliche Technik verwendete.

Malware versteckt sich hinter legitimer Software

Black Lotus Labs, die Abteilung für Bedrohungsforschung von Lumen, untersuchte die BambooToken-Kampagne.

Die Forscher stellten fest, dass die Angreifer die Malware durch DLL Side-Loading verbreiteten. Eine Infektionskette missbrauchte digital signierte Software, die mit Tendyron OnKey USB-Tokens verbunden war.

Eine andere Version gab sich als die Produktivitätssuite Kingsoft Office aus. Diese Techniken lassen die Malware so erscheinen, als sei sie mit legitimen Anwendungen verbunden, und können ihr helfen, einer sofortigen Erkennung zu entgehen.

Die Forscher fanden außerdem ein BambooToken-Plugin, das überprüft, welche Antivirenprodukte auf einem kompromittierten Computer installiert sind. Anschließend sendet die Malware die Ergebnisse an ihre Command-and-Control-Infrastruktur.

Diese Informationen könnten Angreifern helfen, die Schutzmaßnahmen eines Ziels zu verstehen und ihre Aktivitäten entsprechend anzupassen.

Code deutet auf zusätzliche Überwachungswerkzeuge hin

Black Lotus Labs entdeckte Hinweise auf mehrere Überwachungsfunktionen in inaktiven Bereichen des Malware-Codes.

Die Zeichenfolgen deuteten auf mögliche Funktionen zum Aufzeichnen von Tastatureingaben, zum Stehlen von Zwischenablageinhalten und zum Aufzeichnen von Audio hin. Weitere Hinweise erwähnten den Zugriff auf Webcams und das Erfassen von Screenshots.

Die Forscher fanden diese Hinweise jedoch in nicht ausgeführtem Code. Daher konnten sie nicht bestätigen, ob die Betreiber die entsprechenden Module entwickelt oder eingesetzt hatten.

Bei den Funktionen könnte es sich um aufgegebene Funktionen, geplante Fähigkeiten oder Werkzeuge handeln, die die Ermittler noch nicht gefunden haben. Ihre Existenz beweist daher nicht, dass BambooToken sie bei tatsächlichen Angriffen eingesetzt hat.

Linux-Variante unterstützt Remote-Befehle

Die Forscher entdeckten außerdem BambooToken Version 2.1 für Linux. Sie beobachteten diese Version im Dezember 2025, womit sie das neueste mit der Kampagne verbundene Sample darstellt.

Wie die Windows-Malware nutzt auch die Linux-Variante MQTT für die Command-and-Control-Kommunikation. Sie sammelt umfangreiche Informationen über das infizierte System und sendet die Daten an die Betreiber.

Die Malware kann außerdem eine Kommando-Shell öffnen. Darüber hinaus können Angreifer Dateien auf dem kompromittierten Rechner hochladen, herunterladen und löschen.

Black Lotus Labs stellte jedoch fest, dass sich das Linux-Sample offenbar noch in der Entwicklung befand. Die Betreiber könnten seine Funktionen daher weiter ausbauen.

Unternehmensopfer stammen aus mehreren Branchen

Die Telemetriedaten von Lumen identifizierten rund ein Dutzend kompromittierte Organisationen. Die meisten Opfer befanden sich in Asien und Südamerika.

Zu den betroffenen Organisationen gehörten Hotels, biomedizinische Unternehmen, Anwaltskanzleien und eine Finanzorganisation. Die Forscher fanden unter den Opfern außerdem eine Kryptowährungswebsite in Litauen.

Backend-Systeme zur Unterstützung mobiler Anwendungen waren die am häufigsten kompromittierten Server. Der Zugriff auf diese Umgebungen könnte Anwendungsdaten offenlegen und Angreifern wertvolle Infrastruktur zur Verfügung stellen.

Die Betreiber kompromittierten außerdem einen GitLab-Server in Hongkong. Ein solcher Zugriff könnte Möglichkeiten für Lieferkettenangriffe schaffen, wenn Hacker Code oder Entwicklungsressourcen verändern, die an andere Systeme verteilt werden.

Die Forscher vermuten, dass sich einige Aktivitäten gegen chinesische Nutzer im Ausland gerichtet haben könnten. Diese Personen könnten den VPN-Dienst SpeedCN genutzt haben, um auf Dienste auf dem chinesischen Festland zuzugreifen.

Forscher haben die Betreiber nicht identifiziert

Black Lotus Labs konnte die Kampagne nicht eindeutig einer bekannten Hackergruppe oder Regierung zuordnen.

Die Muster bei der Auswahl der Ziele scheinen jedoch mit Operationen übereinzustimmen, die chinesischen Interessen entsprechen. Diese Beobachtung bleibt eine Einschätzung und stellt keine bestätigte Zuschreibung dar.

Lumen hat Indicators of Compromise weitergegeben, um Sicherheitsteams bei der Erkennung und Blockierung damit verbundener Aktivitäten zu unterstützen.

Organisationen sollten ungewöhnlichen MQTT-Datenverkehr überprüfen, insbesondere wenn Server das Protokoll nicht für legitime Zwecke benötigen. Verteidiger sollten außerdem unerwartete Verbindungen zu externen MQTT-Brokern untersuchen.

Die Überwachung von DLL-Side-Loading-Aktivitäten und ungewöhnlichen Prozessen, die von vertrauenswürdigen Anwendungen gestartet werden, kann dabei helfen, Infektionen zu erkennen. Darüber hinaus sollten Sicherheitsteams Entwicklungsplattformen schützen, da kompromittierte Repositories umfangreichere Lieferkettenangriffe ermöglichen können.

Die BambooToken-Malware zeigt, wie Angreifer ein legitimes IoT-Protokoll für eine unauffällige Fernsteuerung zweckentfremden können. Die Unterstützung sowohl von Windows als auch Linux ermöglicht den Betreibern zudem den Zugriff auf eine breite Palette von Unternehmensumgebungen.