Wprowadzenie do problemu / definicja
BambooToken to wieloplatformowa rodzina złośliwego oprogramowania, której cechą charakterystyczną jest wykorzystanie protokołu MQTT do komunikacji command-and-control. Zamiast klasycznego modelu bezpośredniego łączenia z serwerem sterującym, implant korzysta z architektury publish/subscribe, co pozwala lepiej ukrywać ruch i utrudnia analizę aktywności przez zespoły bezpieczeństwa.
Z perspektywy obrońców jest to istotna zmiana jakościowa. MQTT kojarzy się przede wszystkim z ekosystemami IoT, automatyką i komunikacją lekkich urządzeń, dlatego w wielu środowiskach nie jest monitorowany tak dokładnie jak HTTP, HTTPS czy DNS.
W skrócie
- BambooToken działa na systemach Windows i Linux.
- Rodzina malware była rozwijana co najmniej od 2023 roku.
- Operatorzy przeszli z komunikacji HTTP na MQTT, zwiększając dyskrecję działań.
- W kampanii wykorzystywano DLL sideloading z użyciem legalnych aplikacji.
- Zaobserwowane cele obejmowały urządzenia brzegowe, infrastrukturę firmową i systemy zaplecza.
Kontekst / historia
Najstarsze znane próbki BambooToken pochodzą z lutego 2023 roku. W początkowej fazie malware korzystało z prostszej komunikacji HTTP i obsługiwało podstawowy zestaw poleceń związanych z ładowaniem modułów, zatrzymywaniem ich pracy oraz kończeniem sesji.
Z czasem operatorzy rozbudowali platformę, przechodząc na komunikację opartą o MQTT. W latach 2024–2025 pojawiły się warianty wykorzystujące technikę DLL sideloadingu, w której złośliwa biblioteka jest uruchamiana przez zaufane, legalne binarium. Kolejnym krokiem było rozszerzenie kampanii o wersję dla systemów Linux, co potwierdziło szersze ambicje operatorów i gotowość do atakowania bardziej zróżnicowanych środowisk.
Analiza techniczna
Najważniejszym elementem BambooToken jest użycie MQTT jako kanału C2. W modelu publikacji i subskrypcji wiadomości zainfekowany host nie musi utrzymywać klasycznego, łatwego do wykrycia połączenia beaconingowego z jednym serwerem. Komunikacja odbywa się za pośrednictwem brokera, który pełni funkcję warstwy pośredniej pomiędzy implantem a operatorem.
Taka architektura zwiększa odporność operacyjną kampanii. Komunikacja asynchroniczna pozwala na okresowe przerwy w łączności bez utraty zdolności do dalszej wymiany poleceń i danych. Jednocześnie utrudnia to analizę sieciową, ponieważ ruch może przypominać legalne wykorzystanie protokołu występującego w środowiskach przemysłowych lub IoT.
Na systemach Windows BambooToken był dostarczany między innymi z użyciem legalnych aplikacji, które ładowały złośliwe biblioteki w ramach DLL sideloadingu. To ważne rozróżnienie: atak nie wymagał przejęcia procesu podpisywania kodu, lecz nadużywał zaufania do autentycznego pliku wykonywalnego oraz sposobu, w jaki ładuje on biblioteki z lokalnego katalogu.
Wersja linuksowa oferowała funkcje typowe dla lekkiego backdoora, w tym uruchamianie powłoki, pobieranie i wysyłanie plików, usuwanie danych oraz zbieranie informacji o systemie. W wariantach windowsowych wykryto dodatkowo mechanizmy sprawdzające obecność oprogramowania antywirusowego. Badacze natrafili także na elementy wskazujące na możliwość dalszej rozbudowy, takie jak keylogging, kradzież zawartości schowka, nagrywanie dźwięku oraz przechwytywanie obrazu z ekranu i kamery.
Interesujące są również ślady antyforensic. Niespójności w metadanych i znacznikach czasu mogą sugerować celowe zaciemnianie procesu budowy próbek albo korzystanie z odizolowanego środowiska kompilacji. Dla analityków oznacza to utrudnioną atrybucję i mniej oczywiste artefakty do korelacji.
Konsekwencje / ryzyko
Zagrożenie związane z BambooToken nie ogranicza się do pojedynczej infekcji stacji roboczej. Dobór ofiar wskazuje, że malware może służyć do długotrwałego utrzymywania dostępu, rozpoznania środowiska, przygotowania ruchu bocznego oraz budowania przyczółków pod kolejne etapy operacji.
Szczególnie niebezpieczne jest wykorzystanie MQTT. W wielu organizacjach ruch tego typu nie jest traktowany jako priorytetowy obiekt monitoringu, co tworzy lukę detekcyjną. Jeżeli przedsiębiorstwo nie używa MQTT operacyjnie, każdy taki ruch wychodzący powinien zostać uznany za podejrzany. Jeśli natomiast protokół jest wykorzystywany legalnie, rozróżnienie komunikacji prawidłowej od złośliwej może wymagać analizy tematów, brokerów, częstotliwości transmisji i procesu inicjującego połączenie.
Ryzyko rośnie również w przypadku kompromitacji urządzeń brzegowych, serwerów aplikacyjnych i repozytoriów kodu. Tego rodzaju systemy mogą zapewnić atakującemu dogodne miejsce do ukrywania aktywności, obserwacji ruchu wewnętrznego oraz przygotowania incydentów o większej skali, w tym naruszeń łańcucha dostaw.
Rekomendacje
Organizacje powinny objąć MQTT pełnym monitoringiem bezpieczeństwa i traktować go jako potencjalny kanał wysokiego ryzyka. Konieczna jest inwentaryzacja dozwolonych brokerów, klientów i tematów, a następnie budowa reguł wykrywających odstępstwa od znanego wzorca komunikacji.
- Monitorować wszelki nieautoryzowany ruch MQTT, zwłaszcza wychodzący do zewnętrznych brokerów.
- Wdrożyć kontrolę integralności aplikacji i mechanizmy application control ograniczające DLL sideloading.
- Analizować uruchamianie podpisanych binariów z nietypowych katalogów lub z nieoczekiwanymi bibliotekami.
- Wykrywać tworzenie procesów potomnych przez aplikacje, które normalnie tego nie robią.
- Korelować zdarzenia związane z pobieraniem, wysyłaniem i usuwaniem plików.
- Monitorować próby enumeracji oprogramowania ochronnego.
- Zabezpieczyć urządzenia brzegowe poprzez aktualizacje firmware, wyłączenie zbędnych usług i ograniczenie dostępu administracyjnego.
- Rozszerzyć nadzór nad repozytoriami kodu i środowiskami developerskimi o nietypowe logowania, zmiany konfiguracji i transfery danych.
Podsumowanie
BambooToken pokazuje, że współczesne kampanie malware coraz częściej odchodzą od łatwo rozpoznawalnych schematów komunikacji na rzecz mniej oczywistych protokołów. Połączenie MQTT, technik sideloadingu, obsługi wielu platform i potencjalnych funkcji szpiegowskich sprawia, że jest to zagrożenie wymagające szerszej widoczności sieciowej oraz dokładniejszej analizy zaufanych aplikacji.
Dla zespołów SOC, threat hunting i incident response najważniejszy wniosek jest prosty: kanały rzadziej używane w tradycyjnej telemetrii mogą dziś pełnić kluczową rolę w ukrywaniu infrastruktury C2. Brak monitoringu takich protokołów może przełożyć się na dłuższy czas obecności napastnika w środowisku.
Źródła
- https://securityaffairs.com/199205/malware/bambootoken-the-malware-that-speaks-mqtt-to-stay-under-the-radar.html
- https://www.lumen.com/en-us/resources/blog/threat-research/bambootoken-lightweight-mqtt-malware.html