BambooToken: framework malware usa MQTT per C2 su Windows e Linux

Un report di settembre 2026 ha reso pubblico ciò che fino a pochi giorni prima era ignoto: un framework malware chiamato BambooToken ha operato per almeno tre anni senza essere rilevato, colpendo circa una dozzina di entità enterprise in Asia e Sud America. Secondo Black Lotus Labs, divisione threat intelligence di Lumen Technologies, il framework adotta il protocollo MQTT — standard nell'ecosistema IoT — per le comunicazioni di comando e controllo, un approccio che i ricercatori definiscono "uncommon". Le varianti più recenti, sviluppate tra il 2024 e il 2025, mirano a server Windows e Linux con tecniche di side-loading e funzionalità di raccolta dati ancora in evoluzione.

Il contesto: MQTT nel malware, da rarità a pattern

Il protocollo MQTT non è inedito nel panorama del malware. Nel 2023 ESET documentò MQsTTang, backdoor attribuita al gruppo cinese Mustang Panda, che sfruttava lo stesso protocollo per comunicazioni C2. La differenza con BambooToken sta nel target: mentre MQsTTang colpiva endpoint individuali, BambooToken si concentra su server enterprise e infrastrutture backend. Secondo Black Lotus Labs, questa scelta riflette una logica operativa specifica: i broker MQTT legittimi offrono un livello di indirezione che complica l'identificazione dell'infrastruttura malevola, e il protocollo è progettato per riconnessioni automatiche che ne aumentano la resilienza.

Il report non spiega perché gli operatori abbiano preferito MQTT a tecniche C2 più tradizionali per le vittime identificate. Tuttavia, la concentrazione di server compromessi associati a backend di app mobile suggerisce un possibile nesso: queste infrastrutture gestiscono già flussi di dati da dispositivi mobili, dove MQTT è diffuso, e la presenza del protocollo potrebbe apparire meno anomala ai sistemi di monitoraggio.

Meccanismi di infezione: Windows e Linux a confronto

Su Windows, BambooToken si insedia tramite side-loading di DLL. I ricercatori hanno identificato due vettori specifici: il software Tendyron OnKey, utilizzato per token USB crittografici e firmato digitalmente, e l'impersonazione di Kingsoft Office, suite di produttività diffusa nei mercati asiatici. La tecnica consente di caricare codice malevolo in processi che presentano una firma apparentemente legittima.

Un plugin recuperato dalla variante Windows enumera i prodotti antivirus installati sull'host. Sono inoltre presenti stringhe in sezioni di codice non eseguito — "dead code" secondo la terminologia di Black Lotus Labs — che fanno riferimento a funzionalità di keylogging, furto clipboard, registrazione audio, cattura webcam e screenshot. I ricercatori non possono determinare con certezza se questi moduli siano esistiti in campioni attivi o restino in uno stato di sviluppo non completato.

Su Linux, il framework raggiunge la versione 2.1 a dicembre 2025. Questa variante raccoglie informazioni di sistema estese, permette lo spawn di shell di comando remote, e gestisce operazioni di upload, download e cancellazione file. Black Lotus Labs valuta che "the Linux sample still appeared to be under development" — un'indicazione che il framework continua a evolversi su entrambe le piattaforme.

"the Linux sample still appeared to be under development" — Black Lotus Labs (via BleepingComputer)

Vittime, settori e l'anomalia lituana

Black Lotus Labs ha identificato circa una dozzina di entità enterprise compromesse, distribuite principalmente in Asia e Sud America. I settori colpiti includono alberghiero, biomedical, legale, finanziario e criptovalute. Un caso specifico in Lituania — l'unico in Europa — rompe la concentrazione geografica dominante. Il report non spiega questa anomalia: potrebbe riflettere una vittima con filiali in altre regioni, un'infrastruttura cloud con sede legale diversa dalla localizzazione fisica, o un test di espansione geografica degli operatori.

Un pattern ricorrente emerge nella tipologia di server più frequentemente compromessi: infrastrutture backend di applicazioni mobile. Questa concentrazione non è analizzata nel report come scelta deliberata degli attaccanti, ma costituisce un dato osservativo che solleva interrogativi sul possibile nesso tra l'uso di MQTT e l'ecosistema mobile.

Un elemento di particolare rilievo è la compromissione di un server GitLab a Hong Kong. Secondo Black Lotus Labs, questo crea un "potential foothold for supply-chain attack" — una possibilità che il report non sviluppa oltre l'indicazione generica.

Attribuzione: ipotesi e limiti

Lumen avanza un'ipotesi di targeting specifica: utenti cinesi all'estero che utilizzano SpeedCN VPN. Il pattern di selezione delle vittime è descritto come "consistent with China-aligned operations", ma i ricercatori non operano alcuna attribuzione specifica a threat actor noto o cluster di attività documentato. L'identità degli operatori resta non confermata, e il report non fornisce elementi tecnici — come codice sorgente, infrastruttura o TTP — che permettano di collegare BambooToken a campagne attribuite precedentemente.

Questa cautela è significativa: la sola consistenza geografica e settoriale con operazioni attribuite a gruppi cinesi non costituisce prova di attribuzione. Il report la presenta come indizio contestuale, non come conclusione.

Cosa cambia

L'analisi di DeafNews: la rivelazione di BambooToken solleva tre questioni strategiche per chi gestisce sicurezza enterprise. Prima: il monitoraggio del traffico MQTT in ambienti dove il protocollo non è previsto — server backend, workstation, infrastrutture non-IoT — merita attenzione specifica, dato che almeno un framework malware documentato lo sta usando come canale C2 principale. Seconda: il side-loading via software firmato digitalmente come Tendyron OnKey mostra che la firma non è garanzia di innocuità, e che i controlli devono verificare non solo chi ha firmato ma cosa viene caricato. Terza: la presenza di "dead code" con funzionalità avanzate in un framework attivo dal 2023 suggerisce che gli operatori stiano preparando espansioni future, o che il codice non attivo serva a testare capacità senza esporsi — oppure che si tratti di residui di sviluppo senza significato operativo. La fonte non specifica quale interpretazione sia corretta.

Il caso del server GitLab a Hong Kong, infine, indica che il target non è solo l'esfiltrazione diretta ma potenzialmente la compromissione di catene di sviluppo software — anche se il report non documenta che questa potenzialità sia stata effettivamente realizzata.

Nota di metodo

Questo articolo si basa sul report di Black Lotus Labs (Lumen Technologies) riportato da BleepingComputer. Non sono disponibili fonti primarie dirette al report originale. Le citazioni attribuite a Black Lotus Labs sono riportate attraverso BleepingComputer. Le analisi interpretative sono firmate DeafNews e non sono presenti nel report dei ricercatori.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

• https://www.bleepingcomputer.com/news/security/bambootoken-malware-controls-windows-and-linux-systems-via-mqtt/
• https://research.checkpoint.com/2026/gaming-the-system-how-a-chinese-speaking-actor-turned-brazilian-government-sites-into-an-seo-weapon/
• https://www.rapid7.com/blog/post/tr-dprk-apts-ted-backdoor-curlrat-target-south-korean-media-automotive-sectors
• https://ics-cert.kaspersky.com/publications/reports/2023/09/25/apt-and-financial-attacks-on-industrial-organizations-in-h1-2023/#korean-speaking-activity
• https://www.bleepingcomputer.com/
• https://www.bleepingcomputer.com/tutorials/
• https://deals.bleepingcomputer.com/