BambooToken sfrutta MQTT: nuovo malware multipiattaforma colpisce Windows e Linux dal 2023 al 2026

BambooToken è una nuova famiglia di malware multipiattaforma che sfrutta il protocollo MQTT come canale di comunicazione per il comando e controllo (C2) di sistemi Windows e Linux. MQTT è un protocollo leggero basato sul modello publish/subscribe, molto diffuso in ambito IoT, e proprio questa natura lo rende interessante per gli attaccanti che cercano traffico di rete meno sospetto e più facile da instradare.

La campagna risulta attiva almeno da febbraio 2023 e ha colpito organizzazioni in Asia e Sud America, con segnali di attività osservati fino a luglio 2026.

Un elemento chiave della catena di infezione è l’uso di un software legittimo collegato a token USB di sicurezza per autenticazione in contesti ad alta protezione. Gli operatori sfruttano una tecnica di DLL sideloading, caricando una libreria malevola al posto di una DLL attesa da un servizio associato al programma, così da eseguire codice senza dover compromettere certificati di firma o ambienti di build del fornitore. Questo approccio può ridurre gli alert di alcune soluzioni EDR, perché il processo ospite appare affidabile e firmato.

Le prime varianti di BambooToken recuperano l’indirizzo del server C2 da un file DAT e, se assente, usano un endpoint hardcoded. Dopo l’avvio, il malware raccoglie informazioni sul sistema e le invia al C2, ricevendo comandi per caricare plugin, interrompere i plugin, terminare l’esecuzione o disconnettersi. Le versioni successive introducono un loop di comando basato su MQTT e utilizzano domini e infrastrutture protette da proxy, inclusi servizi che possono mascherare l’origine reale dei server.

Dal punto di vista delle funzionalità, BambooToken è in grado di eseguire raccolta estesa di dati host e di distribuire componenti aggiuntivi. Per Windows è stato descritto un plugin che utilizza WMI per enumerare prodotti antivirus installati e inviare i dettagli al C2, un segnale utile per valutare difese presenti e calibrare le tecniche di evasione.

Le analisi indicano comunicazioni con nodi C2 da indirizzi IP associati a router diffusi e una lista di vittime eterogenea, tra cui server legati ad applicazioni mobili, servizi di sviluppo e aziende in settori come finanza, hospitality, biomed e criptovalute. L’insieme di tecniche e infrastruttura suggerisce un attore esperto e un possibile collegamento geografico, mentre l’uso di MQTT conferma una tendenza crescente verso canali C2 non convenzionali per operazioni su larga scala.