Wprowadzenie do problemu / definicja
BambooToken to wieloplatformowa rodzina złośliwego oprogramowania, która wyróżnia się wykorzystaniem protokołu MQTT do komunikacji z infrastrukturą sterującą. To nietypowe podejście odróżnia ją od klasycznych kampanii malware opartych na HTTP, HTTPS lub bezpośrednich kanałach command-and-control, a zarazem utrudnia wykrywanie przez standardowe mechanizmy monitoringu sieciowego.
W praktyce oznacza to większą dyskrecję ruchu oraz możliwość ukrywania aktywności wśród legalnej komunikacji znanej ze środowisk IoT, OT i systemów telemetrycznych. Z punktu widzenia obrońców BambooToken jest więc przykładem zagrożenia, które wykorzystuje zaufane technologie do maskowania działań po kompromitacji.
W skrócie
BambooToken został opisany jako zaawansowane malware działające na systemach Windows i Linux. Badacze wskazują, że kampania była aktywna co najmniej od lutego 2023 roku i z czasem ewoluowała z prostszego wariantu HTTP do wersji wykorzystującej MQTT.
- malware obsługuje platformy Windows i Linux,
- komunikacja C2 została przeniesiona z HTTP do MQTT,
- operatorzy stosowali DLL sideloading z użyciem legalnych aplikacji,
- wśród celów znalazły się urządzenia brzegowe oraz serwery przedsiębiorstw,
- kampania wskazuje na długofalowe i selektywne działania napastników.
Kontekst / historia
Najwcześniejsze próbki BambooToken bazowały na prostszej architekturze komunikacji i ograniczonym zestawie komend. W początkowej fazie malware korzystał z osadzonych parametrów konfiguracyjnych oraz funkcji służących do ładowania modułów, rozłączania i kończenia działania.
W kolejnych iteracjach twórcy przeszli na model oparty o MQTT, co zwiększyło elastyczność operacyjną. Broker MQTT działa w tym scenariuszu jako pośrednik między zainfekowanym hostem a zapleczem operatora, co utrudnia korelację ruchu z klasycznym serwerem C2 i ogranicza widoczność relacji pomiędzy ofiarą a atakującym.
Istotnym etapem rozwoju kampanii było również rozszerzenie wsparcia o Linux. Taka ewolucja sugeruje, że narzędzie projektowano z myślą o szerszym zastosowaniu przeciwko stacjom roboczym, serwerom oraz urządzeniom sieciowym.
Analiza techniczna
Kluczową cechą BambooToken jest użycie MQTT, czyli lekkiego protokołu publikacji i subskrypcji powszechnie spotykanego w systemach IoT i telemetrycznych. Zainfekowany host nie musi utrzymywać klasycznego, bezpośredniego połączenia z serwerem C2, lecz komunikuje się z brokerem poprzez publikowanie i odbieranie wiadomości w określonych tematach.
Taki model daje operatorom większą elastyczność oraz utrudnia wykrywanie. Asynchroniczny charakter MQTT pozwala wznowić komunikację po chwilowej utracie łączności, a sam mechanizm subskrypcji umożliwia bardziej selektywne zarządzanie tym, które implanty otrzymują polecenia.
Na platformie Windows BambooToken był uruchamiany między innymi z wykorzystaniem DLL sideloading. W tej technice legalny, podpisany plik wykonywalny ładuje podstawioną bibliotekę, dzięki czemu złośliwy kod działa pod przykrywką zaufanej aplikacji. Takie podejście obniża skuteczność części zabezpieczeń opartych na reputacji plików, sygnaturach i zaufaniu do podpisów cyfrowych.
Wariant linuksowy oferował funkcje zdalnej powłoki, przesyłania i pobierania plików, usuwania danych oraz zbierania informacji o systemie. W wersji windowsowej odnotowano również moduł monitorujący obecność oprogramowania antywirusowego. Analiza kodu ujawniła ponadto ślady funkcji związanych z keyloggingiem, przechwytywaniem danych ze schowka, nagrywaniem dźwięku oraz zbieraniem obrazu z ekranu i kamery, co wskazuje na modularną architekturę i możliwość dalszej rozbudowy.
Zwraca uwagę również warstwa antyforensic. Metadane części plików sugerowały środowisko kompilacji starsze niż rzeczywisty okres aktywności próbek. Tego rodzaju rozbieżności mogą wskazywać na świadome fałszowanie znaczników lub użycie odseparowanego środowiska build, co utrudnia profilowanie operatora.
Konsekwencje / ryzyko
BambooToken stanowi istotne ryzyko dla organizacji z kilku powodów. Po pierwsze, ruch MQTT może zostać błędnie uznany za legalną komunikację urządzeń IoT lub systemów przemysłowych. Po drugie, zastosowanie DLL sideloading zwiększa szansę na obejście części zabezpieczeń endpointów. Po trzecie, obecność wariantów dla Windows i Linux pokazuje, że kampania może obejmować różnorodne środowiska korporacyjne.
Szczególnie niepokojące jest infekowanie urządzeń sieciowych oraz serwerów zaplecza aplikacji. Taki dostęp może umożliwić długotrwałą obecność w infrastrukturze, ruch boczny, eksfiltrację danych, a w skrajnych przypadkach także kompromitację elementów łańcucha dostaw. Jeżeli atakujący uzyskają dostęp do repozytoriów kodu, backendów aplikacyjnych lub systemów pośredniczących, skutki incydentu mogą wykraczać poza jedną organizację.
Dodatkowe ryzyko wynika z trudności atrybucyjnych. Kampania wykazuje cechy ostrożnego, etapowego rozwoju i selektywnego doboru celów, co może sugerować działania długoterminowe, a nie wyłącznie masową cyberprzestępczość oportunistyczną.
Rekomendacje
Organizacje powinny uwzględnić MQTT w procesach monitoringu sieciowego. Jeżeli w środowisku nie ma uzasadnionych biznesowo zastosowań tego protokołu, każdy taki ruch powinien być traktowany jako podejrzany. Tam, gdzie MQTT jest używany legalnie, konieczne jest profilowanie normalnego ruchu i wykrywanie anomalii związanych z tematami, brokerami, częstotliwością połączeń oraz kierunkami komunikacji.
W obszarze bezpieczeństwa endpointów warto rozszerzyć detekcję o przypadki DLL sideloading, uruchamianie procesów z nietypowych lokalizacji oraz ładowanie bibliotek przez legalne aplikacje w kontekstach niezgodnych z ich standardowym zachowaniem. Należy również monitorować procesy wykonujące periodyczne rozpoznanie lokalnego oprogramowania ochronnego lub tworzące kanały zdalnej powłoki.
Dla urządzeń brzegowych i routerów kluczowe pozostają regularne aktualizacje, wyłączenie zbędnych usług zarządzających wystawionych do internetu oraz ograniczenie dostępu do interfejsów administracyjnych. Istotne jest także zabezpieczenie SNMP, w tym zmiana domyślnych community strings i ograniczenie listy źródłowych adresów IP uprawnionych do komunikacji.
- wdrożenie segmentacji sieci i ograniczenie komunikacji między strefami,
- monitorowanie transferów wychodzących o nietypowej wielkości lub częstotliwości,
- audyt zależności aplikacyjnych i repozytoriów kodu,
- wdrożenie reguł EDR/XDR wykrywających ruch boczny i działania po kompromitacji,
- analiza legalnych binariów podatnych na sideloading obecnych w środowisku.
Podsumowanie
BambooToken pokazuje, że operatorzy malware coraz częściej sięgają po niestandardowe protokoły i techniki, które zacierają granicę między legalnym a złośliwym ruchem. Wykorzystanie MQTT, wieloplatformowość oraz użycie zaufanych komponentów do uruchamiania ładunku czynią z tej kampanii interesujący przykład nowoczesnego, skrytego malware.
Najważniejszy wniosek dla zespołów bezpieczeństwa jest praktyczny: detekcja nie może ograniczać się wyłącznie do najpopularniejszych wzorców C2. Ruch MQTT, zachowania charakterystyczne dla sideloadingu oraz anomalie na urządzeniach brzegowych powinny zostać włączone do standardowych scenariuszy monitoringu i threat huntingu.