LONDON (IT BOLTWISE) – Sicherheitsforscher beschreiben eine plattformübergreifende Malware namens BambooToken, die MQTT als Kommunikationskanal für Command-and-Control (C2) nutzt. Die Aktivität soll mindestens seit Februar 2023 andauern und laut Beobachtungen bis Juli 2026 reichen. Im Fokus stehen laut den Ermittlungen Organisationen in Asien und Südamerika. Auffällig ist der Einsatz von DLL-Sideloading in Verbindung mit einem Tendyron-OnKey-Umfeld sowie das Routing über Cloudflare.
MQTT ist eigentlich dafür gedacht, dass verteilte Geräte unkompliziert Nachrichten austauschen – etwa Sensoren in Fabrikhallen oder kleine IoT-Setups. Genau diese Stärke macht die aktuelle Bedrohung BambooToken so gefährlich: Die Malware nutzt den Message Queueing Telemetry Transport (MQTT)-Standard, um Kommando- und Kontrollsignale über einen Publish-Subscribe-Mechanismus zu steuern. Damit weicht sie vom klassischen Muster ab, bei dem Angreifer meist direkt auf HTTP(S)-Endpunkte setzen. Das erhöht die Chancen, in Netzwerkverkehr und Protokollmuster „unauffällig“ zu wirken, weil MQTT je nach Umgebung weniger stark überwacht wird als etwa Web-Requests.
Die Untersucher ordnen BambooToken als mehrplattformfähige Agent-Familie ein, die sowohl Windows- als auch Linux-Systeme ansteuert. Aktiv sein soll sie mindestens seit Februar 2023; gleichzeitig wurden Hinweise bis Juli 2026 gesehen. Laut den vorliegenden Details entdeckte Lumen Black Lotus Labs die zuvor nicht dokumentierte Malware bereits Anfang 2026 bei VirusTotal. Dabei wird außerdem von einem „geschickten“ Angreifer gesprochen, der sich lange Zeit der breiten Sicht entziehen konnte. In der Analyse fällt zudem auf, dass die meisten BambooToken-Samples in einem Zeitraum von frühen Sammlungen über VirusTotal aus dem chinesischen IP-Adressraum eingereicht wurden – ein Hinweis auf eine gezielte Datensammlung rund um die Aktivitätscluster, nicht zwingend auf den Ort der späteren Infektionen.
Technisch beginnt der Befall nach den beschriebenen Abläufen mit dem Ermitteln des C2-Servers: Frühversionen extrahieren den Server aus einer.DAT-Datei oder greifen auf einen fest eingebauten Fallback zurück. Anschließend sammelt die Schadsoftware Systeminformationen und übermittelt sie an den C2-Endpunkt, bevor der Server den nächsten Schritt vorgibt. Dazu gehören etwa das Nachladen von Plugins, das Stoppen aktiver Plugins, das Beenden der Malware oder das Trennen der Verbindung. In späteren Versionen kommt ein für Incident-Responder besonders relevanter Hebel hinzu: Die Agenten sideloaden eine manipulierte DLL mit dem Namen „OnKeyToken_KEB.dll“. Diese DLL soll mit dem OnKeySrv-Umfeld von Tendyron zusammenhängen, um einen Host zu enumerieren und in eine Kommando-Schleife zu wechseln, in der MQTT für die C2-Kommunikation genutzt wird.
Dass es dabei um das Tendyron-OnKey-Ökosystem geht, wirkt wie ein bewusst gewählter Weg, um Authentifizierungs- und Verifikationsprozesse in der Zielumgebung auszunutzen. Tendyron positioniert seine OnKey-Token als zweite Generation eines PKI-USB-Security-Token zur Absicherung von Online-Banking und Finanztransaktionen; der Anbieter nennt zudem eine große Stückzahl an Token im Umlauf (laut eigener Angabe 190 Millionen). In den vorliegenden Details heißt es zwar, dass weder das Code-Signing-Zertifikat noch das Build-Umfeld in Verbindung mit der Aktivität kompromittiert worden seien. Gleichzeitig wird jedoch vermutet, dass die Operatoren auf Binärbestandteile setzen, die anfällig für DLL-Sideloading sind, um den Angriff im Netzwerk der Opfer auszulösen. Für Verteidiger ist das ein wichtiger Punkt: Es verschiebt die Aufmerksamkeit weg von „gestohlener Signatur“ hin zu „verwundbarer Lade-Logik“ und damit hin zu konkreten Windows-Mechanismen, die Hardening und Monitoring brauchen.
Die weitere Infrastruktur wirkt ebenfalls wie ein abgestimmter Betrieb. Laut Bericht verwendeten die zugehörigen Domains Cloudflare als Proxy; zudem sei ein Domain-Name aus der 2025er-Kampagne in den Top 500.000 gelandet und eine ältere Domain zeitweise in den Top 1 Millionen. Das sind keine direkten Infektionszahlen, aber ein brauchbarer Proxy für Sichtbarkeit und Reichweite über mehrere Kampagnen innerhalb eines Aktivitätsclusters. Als C2-Beispiele werden unter anderem chat5188[.]tk und api80.c2iznja[.]com genannt. Zusätzlich identifizierten die Forschenden IP-Adressen, die geolokal zu Singapur, Kambodscha und Vietnam passten, die mit Routern von MikroTik und DrayTek kommunizierten. In Verbindung mit Router- und Proxypfaden ergibt sich damit ein realistisches Bild: Angreifer können Verkehr über eine Kette aus Infrastruktur, Gateways und Cloud-Proxying lenken, statt jeden Endpunkt direkt anzusprechen.
Auch der Payload-Teil zeigt, wie BambooToken nicht bei „nur“ Zugriff bleibt. Für Windows wird beschrieben, dass die Malware eine Antivirus-Plugin-Komponente ausliefert, die mithilfe von Windows Management Instrumentation (WMI) Details über installierte Antivirenprodukte erfasst und diese Informationen an den C2-Server exfiltriert. Das ist strategisch, weil es die Angriffsplanung in Echtzeit an die konkrete Sicherheitslage anpassen kann – etwa um gezielt Techniken auszuwählen, die bei bestimmten AV-Implementierungen weniger auffallen. Laut den vorliegenden Beobachtungen wurden zudem Dutzende kompromittierte Entitäten in Asien und Südamerika identifiziert; auffällig ist die Häufung bei mobilen Anwendungen, daneben aber auch Infrastrukturelemente wie ein GitLab-Server in Hongkong sowie eine vietnamesische Firma, die ein portables Lifestyle-Management-Gerät entwickelt. Genannt werden außerdem Ziele wie ein Hotel in Vietnam, eine biomedizinische Organisation in Argentinien, eine Anwaltskanzlei in Chile, eine Krypto-Website in Litauen und eine malaysische Finanzorganisation – ein Mix, der sowohl auf Datenerhebung als auch auf „Umfeld-Angriffe“ hindeutet.
Der Einsatz von MQTT als C2-Mechanismus ist dabei nicht völlig neu. Schon 2023 wurde eine Backdoor namens MQsTTang im Umfeld eines chinesischen Nation-State-Gruppenkomplexes beobachtet, die MQTT-ähnliche Muster nutzte, um Kommandos nachgeladen auszuführen. Zudem gab es bisher nur wenige dokumentierte Kampagnen, die MQTT so konsequent einsetzten – etwa ein Android-Kriminelle-Framework namens Tizi, das Daten aus Messaging- und Social-Media-Apps abgreifen kann, oder ein Loader wie WailingCrab (auch als WikiLoader bekannt), der per thematisch inszenierter E-Mail-Nachrichten verteilt wurde. BambooToken reiht sich damit in eine schmale Linie von Fällen ein, in denen ein „leichter“ Messaging-Stack für die Steuerung kompromittierter Systeme genutzt wird. Genau darin liegt die operative Herausforderung: Wenn MQTT-Traffic in Umgebungen ohnehin für legitime Integrationen existiert, wird das Distinguishing zwischen normalem und bösartigem Verhalten anspruchsvoller. Die Forschenden schließen außerdem daraus, dass die Kombination aus zentralem MQTT-Handling und Cloudflare-Routing eine großskalige Operation begünstigen kann, und leiten daraus Hypothesen für die Ziele der Datensammlung ab – etwa Muster-of-life-Auswertungen über Mobilfunk-gekoppelte Geräte oder das Aufspüren von Transaktionsdaten bei Finanzorganisationen.
Für die Praxis folgt daraus vor allem eine Priorisierung: Teams sollten nicht nur nach bekannten C2-Domains oder Dateinamen suchen, sondern auch nach dem Kommunikationsmuster. MQTT ist ein Protokoll, bei dem Inspektions- und Telemetrie-Strategien frühzeitig definiert werden müssen, damit Verhaltensabweichungen nicht erst im Nachhinein auffallen. Ebenso rückt das Windows-seitige DLL-Sideloading in den Fokus: Wenn eine OnKey-ähnliche Komponente in der Ladeumgebung vorhanden ist, können Angreifer mit manipulierten DLLs eine Vertrauenskette umgehen, ohne dass das Signieren als kompromittiert gilt. Gerade deshalb lohnt es sich, die Hardening- und Prozess-Regeln in Windows so zu prüfen, dass DLL-Search-Order-Entscheidungen und erwartete Binärpfade nachvollziehbar abgesichert sind. BambooToken zeigt damit weniger eine einzelne „magische“ Technik als ein orchestriertes Zusammenspiel aus Protokollwahl, Ladepfad-Manipulation und mehrstufiger Plugin-Logik – und genau dieses Zusammenspiel sollten Sicherheitsverantwortliche in ihren Detektions- und Reaktionsplänen abbilden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "BambooToken Malware: MQTT-gestütztes C2 und DLL-Sideloading" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "BambooToken Malware: MQTT-gestütztes C2 und DLL-Sideloading" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »BambooToken Malware: MQTT-gestütztes C2 und DLL-Sideloading« bei Google Deutschland suchen, bei Bing oder Google News!