BambooToken dùng MQTT để điều khiển hệ thống Windows và Linux
"Researchers disclosed BambooToken, a previously undocumented multi-platform malware campaign active since at least February 2023 that uses MQTT for command-and-control on Windows and Linux systems. The malware leverages DLL sideloading via Tendyron OnKey software, gathers host and antivirus information, and exfiltrates data to C2 infrastructure; no CVE is mentioned, and mitigation details were not provided in the article."
Tác động bảo mật cao do mã độc đa nền tảng, thu thập dữ liệu hệ thống và điều khiển từ xa qua MQTT; có dấu hiệu ẩn mình tốt và mở rộng mục tiêu sang Windows lẫn Linux.
Có thể ảnh hưởng đến tính liên tục vận hành, rò rỉ dữ liệu nội bộ và chi phí ứng phó sự cố; rủi ro tăng với tổ chức dùng Tendyron OnKey hoặc có lưu lượng MQTT ra ngoài.
Các nhà nghiên cứu an ninh đã công bố một chiến dịch mã độc đa nền tảng mới, tên BambooToken, hoạt động ít nhất từ tháng 2/2023 và tiếp tục được ghi nhận đến tháng 7/2026. Mã độc này dùng MQTT làm kênh command-and-control (C2) để điều khiển máy nhiễm trên Windows và Linux.
Theo báo cáo, tác nhân tấn công đã lợi dụng DLL sideloading thông qua phần mềm Tendyron OnKey để đưa tác nhân độc hại vào hệ thống mục tiêu. Sau khi xâm nhập, BambooToken thu thập thông tin máy chủ, dữ liệu về phần mềm diệt virus, rồi gửi về hạ tầng C2. Một số biến thể còn nạp plugin và có khả năng ngắt kết nối hoặc dừng thực thi theo lệnh từ máy chủ điều khiển.
Nghiên cứu cho thấy hoạt động liên quan đến nhiều mục tiêu ở châu Á và Nam Mỹ, với các mẫu được tải lên từ không gian địa chỉ IP tại Trung Quốc. Hạ tầng điều khiển cũng được che giấu qua Cloudflare.
Khuyến nghị kỹ thuật: rà soát các hệ thống có cài Tendyron OnKey, kiểm tra dấu hiệu DLL sideloading, giám sát lưu lượng MQTT bất thường, và đối chiếu nhật ký với các miền C2 đã nêu để phát hiện sớm hoạt động xâm nhập.