BambooToken, il malware che controlla Windows e Linux via MQTT

BambooToken è un malware multipiattaforma che utilizza MQTT per ricevere comandi e gestire sistemi Windows e Linux compromessi.

L’attività, analizzata da Black Lotus Labs di Lumen, presenta tracce risalenti almeno al 2023 e mostra un’evoluzione tecnica significativa nelle varianti individuate tra il 2024 e il 2025. Il dato più rilevante riguarda la scelta del canale di comando: invece di collegarsi direttamente all’infrastruttura dell’attaccante, il malware sfrutta un broker MQTT per distribuire istruzioni agli host infetti.

L’analisi di Lumen ha inoltre individuato server compromessi in Asia e Sud America, inclusi sistemi backend e infrastrutture utilizzate per lo sviluppo software. Gli elementi raccolti descrivono una minaccia modulare, ancora in evoluzione e progettata per mantenere un controllo persistente sulle macchine raggiunte.

Come BambooToken sfrutta MQTT per il controllo

La prima versione identificata nel 2023 utilizzava HTTP per le comunicazioni con il server remoto. Le varianti successive hanno introdotto MQTT, protocollo basato sul modello publish-subscribe e ampiamente utilizzato nei dispositivi connessi. BambooToken sfrutta questa architettura attraverso topic dedicati, nei quali pubblica informazioni sull’host e dai quali riceve i comandi dell’operatore.

La versione Windows analizzata da Lumen utilizza inoltre il DLL sideloading: una libreria malevola viene caricata da un’applicazione legittima, sfruttando il normale meccanismo di ricerca delle DLL. Il malware raccoglie informazioni sull’ambiente, tra cui dati hardware, indirizzo MAC, memoria e configurazione del sistema, e può caricare o rimuovere plugin.

Un componente specifico interroga poi Windows Management Instrumentation per individuare gli antivirus installati. L’obiettivo operativo è evidente: ottenere informazioni sulle difese presenti prima di procedere con ulteriori attività. Alcune funzioni relative a registrazione audio, webcam e cattura dello schermo compaiono invece nel codice non eseguito dei campioni analizzati. Lumen non le considera quindi una prova dell’impiego effettivo di tali capacità.

La variante Linux amplia raccolta dati e comandi

Nel dicembre 2025 Lumen ha individuato BambooToken 2.1 per Linux, una variante che mantiene MQTT come canale di comunicazione e introduce una struttura più articolata dei topic. Il malware utilizza un identificatore univoco della macchina, invia beacon periodici e raccoglie numerosi parametri dell’host, inclusi sistema operativo, BIOS, CPU, memoria, PID e architettura.

Tra le funzioni operative figurano l’esecuzione di comandi tramite shell, la gestione dei file e il trasferimento di dati. Il campione presenta inoltre un ciclo di comunicazione con timeout di 60 secondi e nuovi tentativi dopo una pausa di 15 secondi. Lumen ha collegato l’attività a circa una dozzina di organizzazioni, soprattutto in Asia, rilevando anche connessioni riconducibili a router e server compromessi.

Per i difensori, il caso evidenzia la necessità di analizzare il comportamento oltre ai singoli file. Connessioni MQTT insolite, caricamenti anomali di DLL, processi che avviano shell e beacon verso broker esterni possono diventare segnali utili se correlati con DNS, processi e telemetria degli endpoint. L’attribuzione a uno specifico gruppo resta invece non determinata: Lumen segnala alcuni elementi geografici compatibili con attività riconducibili alla Cina, senza collegare BambooToken a un attore già noto.