Вредоносная программа BambooToken управляет системами Windows и Linux через протокол MQTT.

[admin]

Ранее неизвестная вредоносная программа под названием BambooToken, действующая как минимум с 2023 года, теперь использует протокол Message Queuing Telemetry Transport (MQTT) для связи с системами Windows и Linux.

Вредоносная программа использовала протокол MQTT для связи между командами и управлением в вариантах, разработанных в период с 2024 по 2025 год, и скомпрометировала серверы, используемые мобильными приложениями, юридическими и финансовыми службами, а также разработчиками программного обеспечения.

MQTT — это облегченный протокол обмена сообщениями, разработанный в первую очередь для устройств Интернета вещей (IoT). Он использует центральный брокер и каналы, называемые «темами», для передачи сообщений от издателей к подписчикам, вместо использования прямых каналов связи.

Хотя протокол MQTT не является чем-то новым, это довольно редкий подход, и исследователи из компании по кибербезопасности ESET в 2023 году задокументировали несвязанный с ним бэкдор под названием MQsTTang .

В случае с BambooToken зараженная машина подписывается на темы, связанные с уникальным идентификатором. Затем злоумышленник публикует в эти темы команды, которые должны быть выполнены на зараженных хостах.

Вредоносная программа публикует информацию о состоянии и системе через брокера и получает инструкции от оператора через подписанные темы.


Преимущество такого подхода заключается в том, что зараженные системы не подключаются напрямую к инфраструктуре злоумышленника, что повышает их способность к обходу защиты и устойчивость. В то же время, связь может быть асинхронной, обеспечивая непрерывность работы во время временных сбоев в сети.


В сегодняшнем отчете исследовательского подразделения Lumen, Black Lotus Labs, отмечается, что BambooToken заражал системы путем установки через программное обеспечение в виде USB-токена Tendyron OnKey с цифровой подписью или путем имитации офисного пакета Kingsoft Office.


Исследователи обнаружили плагин BambooToken, который перечисляет антивирусные продукты на зараженных хостах и возвращает результаты на сервер управления и контроля. Они также нашли строки, указывающие на перехват нажатий клавиш, кражу буфера обмена, аудиозапись, захват веб-камеры и создание скриншотов.


Однако эти сведения были получены из «мертвого кода», а это значит, что исследователи не могут с уверенностью определить, существовали ли упомянутые модули и использовались ли они в атаках, или же они все еще находились в стадии разработки.


Строки, найденные в разделе "мертвого кода" файла .rdata.
Источник: Lumen

Исследователи обнаружили, что наиболее последняя версия вредоносного ПО (наблюдаемая в декабре 2025 года), относящаяся к Linux, — BambooToken версии 2.1, — может быть связана с этой кампанией.

Он также использует протокол MQTT, собирает обширную системную информацию, может запускать командную оболочку и позволяет операторам загружать, скачивать и удалять файлы. Однако, по словам Black Lotus Labs, «образец для Linux, по всей видимости, все еще находится в стадии разработки».

С помощью телеметрии Lumen было выявлено около дюжины скомпрометированных корпоративных структур, в основном в Азии и Южной Америке, включая отели, биомедицинские компании, юридические фирмы, финансовую организацию и криптовалютный веб-сайт в Литве.

Кроме того, исследователи обнаружили, что наиболее часто скомпрометированные серверы были связаны с серверной инфраструктурой мобильных приложений.

Злоумышленник также взломал сервер GitLab в Гонконге, создав потенциальную точку опоры для атак на цепочку поставок.

Компания Lumen выдвигает гипотезу, что часть этих действий могла быть направлена на китайских пользователей, находящихся за рубежом и получающих доступ к услугам материкового Китая через VPN-сервис SpeedCN.

Хотя исследователи не смогли отнести активность BambooToken к конкретному субъекту угроз или известному кластеру активности, они отмечают, что модели нацеливания соответствуют операциям, проводимым при поддержке Китая.

Компания Lumen поделилась индикаторами компрометации (IoC), связанными с этой деятельностью, чтобы помочь специалистам по защите обнаруживать и блокировать атаки.

Источник