BambooToken: tre anni di C2 MQTT nascosto nelle reti enterprise

Il 18 settembre 2026 Lumen Black Lotus Labs ha reso pubblica l'esistenza di BambooToken, una campagna malware attiva dal febbraio 2023 e rimasta non rilevata per oltre tre anni e mezzo. L'operazione ha compromesso circa dodici organizzazioni in Asia e Sud America — hotel, biomedical, studi legali, finanza, criptovalute e backend di app mobili — sfruttando due tecniche che hanno permesso di aggirare i sistemi di difesa: il protocollo MQTT per il comando-e-controllo asincrono e il DLL sideloading tramite un eseguibile legittimo firmato digitalmente.

Come il MQTT è diventato il canale C2

La scelta del protocollo MQTT (Message Queuing Telemetry Transport) non è casuale. Nato per l'Internet of Things e l'industria 4.0, il MQTT è progettato per essere leggero, asincrono e resiliente alle disconnessioni: caratteristiche che lo rendono ideali per infrastrutture di sensori distribuiti, ma anche per un'infrastruttura di comando-e-controllo che deve rimanere invisibile.

Secondo la ricerca di Lumen citata da The Hacker News, l'adozione del MQTT nelle varianti di BambooToken si colloca tra il 2024 e il 2025, in una fase di evoluzione della campagna. I broker MQTT utilizzati come relay permettevano al threat actor di controllare numerosi client da un punto centrale, con il traffico mascherato attraverso Cloudflare. Questa architettura non richiede connessioni persistenti dirette tra la macchina compromessa e il server dell'attaccante: i comandi e le risposte transitano attraverso topic MQTT, un modello publish/subscribe che non assomiglia al traffico web o DNS tipicamente monitorato dai team di sicurezza.

Il risultato è un gap di visibilità strutturale. Nelle organizzazioni enterprise, il monitoraggio del traffico MQTT è spesso delegato ai team OT/IoT o semplicemente assente, perché il protocollo è percepito come estraneo ai sistemi IT tradizionali. BambooToken dimostra che questa separazione è sfruttabile: un malware enterprise può nascondere il proprio C2 in un canale che i SOC non guardano.

Il DLL sideloading e il trust del software firmato

Per l'esecuzione sulle macchine Windows, BambooToken non ricorre a exploit zero-day o tecniche di iniezione complesse. Utilizza invece il DLL sideloading attraverso OnKeySrv.exe, componente del software Tendyron OnKey, token PKI USB diffuso in Cina e utilizzato per l'autenticazione crittografica. L'eseguibile legittimo carica una libreria malevola rinominata OnKeyToken_KEB.dll, ottenendo l'esecuzione nel contesto di un processo firmato digitalmente.

Come ha riportato Ryan English, information security engineer presso Lumen Technologies Black Lotus Labs, citato da The Hacker News: "The first version of BambooToken was initiated via a PowerShell script... We assess that sideloading would likely trigger fewer EDR alerts, so as the campaign evolved so did that threat actors TTPs". La citazione indica una valutazione interna a Lumen: il passaggio da PowerShell al sideloading riflette una scelta operativa per ridurre la visibilità nei sistemi di rilevamento endpoint.

La fonte specifica esplicitamente che non vi è stato alcun compromesso del certificato code-signing di Tendyron né della sua build environment. Il software è autentico; è il suo meccanismo di caricamento librerie ad essere abusato. Questo distingue il caso da un supply-chain attack tradizionale e lo avvicina a una categoria di tecniche che sfrutta il trust implicito assegnato dal sistema operativo e dagli EDR ai binari firmati.

La modularità cross-platform e il campione Linux

BambooToken non si limita a Windows. Secondo BleepingComputer, Lumen ha osservato una versione BambooToken v2.1 per Linux nel dicembre 2025. Il campione Linux, tuttavia, appariva ancora in fase di sviluppo: la citazione diretta da Lumen riportata dalla stessa fonte è "the Linux sample still appeared to be under development".

Questa dualità è significativa. La capacità di operare su entrambe le piattaforme indica un'intenzione di movimento laterale all'interno di reti eterogenee, dove i server Linux gestiscono infrastrutture critiche e i client Windows ospitano operatori umani. La modularità osservata nelle varianti — plugin per l'enumerazione degli antivirus via WMI su Windows, codice potenzialmente destinato a funzionalità di sorveglianza su entrambe le piattaforme — suggerisce un'architettura progettata per essere estesa per obiettivi specifici.

BleepingComputer segnala la presenza di stringhe in dead code che indicano funzionalità potenziali: keylogging, furto di clipboard, registrazione audio, cattura webcam e screenshot. Tuttavia, il dossier non permette di verificare se queste funzioni siano state effettivamente attivate nelle intrusioni rilevate. Sono indicatori di capacità, non prove di utilizzo operativo.

Server GitLab a Hong Kong e rischio supply-chain

Fra le compromissioni documentate, Lumen ha evidenziato un server GitLab a Hong Kong. Tutte e tre le fonti primarie lo citano come caso particolarmente rilevante per il potenziale rischio supply-chain nel tooling DevOps. Il dossier non stabilisce che il server sia stato utilizzato per distribuire codice malevolo a downstream, ma il profilo di esposizione — repository di codice sorgente in un'area geografica di interesse — inserisce l'incidente in una categoria di rischio che va oltre la singola organizzazione compromessa.

L'identità degli operatori rimane parzialmente oscura. L'attributo China-nexus si fonda su due indicatori tecnici convergenti: il pattern di DLL sideloading associato a intrusion set con orientamento cinese, e una connessione SoftEther VPN da un VPS verso un nodo di comando-e-controllo. Lumen ha esplicitamente evitato di nominare un gruppo APT specifico, e il dossier non documenta sovrapposizioni infrastrutturali con campagne attribuite come MQsTTang o Mustang Panda, sebbene questi paralleli siano stati sollevati come ipotesi non dimostrate.

Cosa fare adesso

La disclosure di Lumen non include un advisory strutturato con CVE o patch, ma le evidenze pubblicate indicano azioni prioritarie per le organizzazioni che gestiscono reti con esposizione MQTT o utilizzano software di autenticazione PKI.

• Verificare la presenza di traffico MQTT non autorizzato verso broker esterni, inclusi quelli con proxy Cloudflare, e estendere il monitoraggio del protocollo ai segmenti IT tradizionalmente esclusi dalla sorveglianza OT/IoT.
• Ispezionare le installazioni di Tendyron OnKey alla ricerca di DLL anomome nella stessa directory di OnKeySrv.exe, con particolare attenzione a OnKeyToken_KEB.dll non corrispondente alla firma ufficiale del vendor.
• Rivedere le policy di trust degli EDR per i processi firmati: il sideloading di DLL da parte di eseguibili legittimi può eludere la rilevazione basata esclusivamente sulla reputazione della firma.
• Auditare l'accesso ai server GitLab interni ed esterni con particolare attenzione alle istanze in regioni geografiche di rischio elevato, verificando la presenza di accessi anomali o modifiche non autorizzate ai repository.

"Using MQTT to control numerous clients from a central point, combined with routing via Cloudflare, enables large-scale operation through an unconventional communication method" — Lumen Black Lotus Labs, riportato da The Hacker News

Il protocollo dimenticato che non lo era più

BambooToken non è l'unico malware che ha sfruttato il MQTT: il dossier cita campagne precedenti come MQsTTang (2023), Tizi, WailingCrab e IOCONTROL. La differenza sta nella durata e nella capacità di permanenza non rilevata. Tre anni e mezzo di attività con un protocollo considerato di secondaria importanza per la sicurezza enterprise indicano un fallimento sistemico nella segmentazione del rischio, non una falla tecnica individuale.

Il caso solleva una questione più ampia: i protocolli leggeri concepiti per l'IoT stanno diventando il substrato di infrastrutture C2 che i difensori non scrutano abbastanza. La prossima campagna potrebbe usare CoAP, AMQP o un altro standard industriale. La lezione di BambooToken è che l'invisibilità non deriva dalla sofisticazione crittografica, ma da una scelta architetturale che sfrutta i confini tra competenze organizzative.

Domande frequenti

Il certificato di Tendyron è stato rubato?

No. Secondo le fonti citate, non vi è stato compromesso del certificato code-signing né della build environment. Il malware sfrutta il caricamento legittimo di DLL da parte di un eseguibile firmato, non la falsificazione della firma.

Perché il MQTT è difficile da rilevare come C2?

Il MQTT utilizza un modello publish/subscribe su broker intermedi, non connessioni dirette punto-punto. Il traffico può essere frammentato, asincrono e veicolato attraverso infrastrutture legittime come Cloudflare, riducendo le firme rilevabili dai sistemi di sicurezza tradizionali.

Il campione Linux è operativo?

Secondo la citazione diretta da Lumen riportata da BleepingComputer, il campione Linux osservato nel dicembre 2025 "still appeared to be under development". La capacità cross-platform è documentata, ma lo stato di maturità operativa differisce dalla variante Windows.

Fonti

• https://tech-insider.org/bambootoken-malware-mqtt-dll-sideloading-2026/
• https://www.bleepingcomputer.com/news/security/bambootoken-malware-controls-windows-and-linux-systems-via-mqtt/
• https://thehackernews.com/2026/09/bambootoken-malware-uses-mqtt-to.html
• https://www.bleepingcomputer.com/
• https://www.bleepingcomputer.com/tutorials/
• https://www.bleepingcomputer.com/download/
• https://deals.bleepingcomputer.com/