Pesquisadores de cibersegurança divulgaram detalhes de uma campanha multiplataforma que utiliza o protocolo MQTT (Message Queueing Telemetry Transport - Transporte de Telemetria por Enfileiramento de Mensagens) como canal de comunicação para controlar sistemas Windows e Linux.
A emergente família de malware, batizada de BambooToken, é avaliada como ativa desde pelo menos fevereiro de 2023 e tem sido empregada em ataques contra organizações da Ásia e da América do Sul. Atividades vinculadas ao malware foram detectadas até julho de 2026.
O Lumen Black Lotus Labs informou que descobriu o malware, até então não documentado, no VirusTotal no início de 2026, com indícios apontando para um agente de ameaça habilidoso que conseguiu permanecer despercebido até agora. O vetor de acesso inicial usado para distribuir o BambooToken ainda não foi determinado.
"O agente utilizou o software 'OnKey' da Tendyron para fazer sideload de agentes em máquinas alvo", afirmou o Black Lotus Labs em um relatório compartilhado com o The Hacker News. "A Tendyron fabrica tokens baseados em hardware, usados em ambientes de alta segurança para verificar a identidade de usuários no acesso a estações de trabalho. O site da empresa lista clientes nos setores financeiro e governamental da China, entre outros segmentos."
O Tendyron OnKey é um token de segurança USB e dispositivo de autenticação de segunda geração baseado em PKI (Public Key Infrastructure - Infraestrutura de Chaves Públicas), projetado para proteger transações bancárias e financeiras online. Em seu site, a Tendyron afirma ter 190 milhões de tokens em circulação.
Embora nem o certificado de assinatura de código nem o ambiente de compilação da Tendyron tenham sido comprometidos em conexão com a atividade, suspeita-se que os operadores estejam se apoiando em um binário vulnerável a sideload de DLL (Dynamic Link Library - Biblioteca de Vínculo Dinâmico) para disparar o ataque em redes-alvo que, provavelmente, têm o programa instalado.
Além disso, a maior parte das amostras do BambooToken foi enviada para a plataforma VirusTotal a partir do espaço de endereços IP da China, o que indica uma campanha de coleta de dados voltada a usuários do país e de outras nações vizinhas.
O uso do MQTT, um protocolo de rede leve baseado em publicação e assinatura, para comando e controle (C2) remoto não é um fenômeno novo. Já em janeiro de 2023, o grupo estatal chinês de hackers conhecido como Mustang Panda foi observado utilizando um backdoor chamado MQsTTang, que se valia do protocolo de mensagens para IoT (Internet das Coisas) para buscar e executar comandos em hosts comprometidos.
Além do MQsTTang, houve apenas algumas poucas campanhas que utilizaram o MQTT até hoje:
- Um malware para Android chamado Tizi, capaz de coletar dados sensíveis de diversos aplicativos de mensagens e redes sociais, além de usar HTTPS (Hypertext Transfer Protocol Secure - Protocolo Seguro de Transferência de Hipertexto) ou MQTT para C2 com o objetivo de realizar suas ações.
- Um loader de malware chamado WailingCrab (também conhecido como WikiLoader), distribuído por meio de mensagens de e-mail com temas de entregas e remessas. É atribuído a um grupo cibercriminoso chamado Bamboo Spider.
- Um malware de OT (Operational Technology - Tecnologia Operacional) chamado IOCONTROL (também conhecido como OrpaCrab), que tem como alvo sistemas de IoT e SCADA (Supervisory Control and Data Acquisition - Controle Supervisório e Aquisição de Dados) em Israel e nos Estados Unidos.
As primeiras versões do agente BambooToken funcionam extraindo o servidor de C2 de um arquivo .DAT ou recorrendo a um servidor hard-coded caso o arquivo não seja encontrado. Concluída essa etapa, o malware passa a coletar informações do sistema e as transmite ao servidor de C2 ("chat5188[.]tk"). Em resposta, o servidor emite comandos para carregar um plugin, parar todos os plugins, encerrar a execução do malware e desconectar-se do servidor de C2.
Versões subsequentes do malware fazem sideload de uma versão maliciosa de uma DLL ("OnKeyToken_KEB.dll"), utilizada pelo programa Tendyron OnKeySrv, para enumerar o host e entrar em um loop de comandos que utiliza o MQTT para C2. A partir de dezembro de 2025, o BambooToken ampliou seu alcance para também atingir hosts Linux, mantendo a dependência do MQTT.
"A primeira versão do BambooToken era iniciada por meio de um script PowerShell", disse Ryan English, engenheiro de segurança da informação no Lumen Technologies Black Lotus Labs, ao The Hacker News. "O script PowerShell atuava como um 'stager' (carregador inicial), alocando memória e, em seguida, executando o arquivo malicioso. Avaliamos que o sideload provavelmente dispararia menos alertas de EDR (Endpoint Detection and Response - Detecção e Resposta em Endpoint), então, à medida que a campanha evoluiu, também evoluíram as TTPs (Tactics, Techniques, and Procedures - Táticas, Técnicas e Procedimentos) do agente de ameaça."
O BambooToken é capaz de coletar informações detalhadas do host e fornecer um plugin antivírus para Windows que utiliza o framework WMI (Windows Management Instrumentation - Instrumentação de Gerenciamento do Windows) para obter dados sobre os produtos antivírus instalados na máquina e exfiltrá-los para o servidor de C2 ("api80.c2iznja[.]com").
"Os domínios usaram a Cloudflare como proxy para sua infraestrutura", afirmou o Black Lotus Labs. "Um domínio associado à campanha de 2025 entrou recentemente no top 500 mil domínios no Cloudflare Radar. O domínio mais antigo figurou entre os top 1 milhão no auge das operações, em 2024, indicando infecção ampla entre as campanhas deste cluster de atividades."
O braço de pesquisa de ameaças da Lumen também afirmou ter identificado endereços IP geolocalizados em Singapura, Camboja e Vietnã se comunicando com um dos nodes ativos de C2. Esses endereços IP correspondem a roteadores MikroTik e DrayTek. Além disso, cerca de uma dúzia de entidades comprometidas foram detectadas na Ásia e na América do Sul.
A grande maioria dos servidores comprometidos está associada a aplicativos móveis, além de um servidor GitLab em Hong Kong e uma empresa vietnamita que desenvolve um dispositivo portátil de gestão de estilo de vida. Outros alvos incluem um hotel no Vietnã, uma empresa biomédica na Argentina, um escritório de advocacia no Chile, um site de criptomoedas na Lituânia e uma organização financeira da Malásia.
Neste estágio, não se sabe quem está por trás da atividade. Mas o uso de sideload de DLL, aliado a uma conexão SoftEther VPN (Virtual Private Network - Rede Privada Virtual) originada de um VPS (Virtual Private Server - Servidor Privado Virtual) para um dos nodes de C2, sugere um nexo com a China.
Outro aspecto interessante que vale destacar é que tanto o MQsTTang quanto o BambooToken surgiram praticamente ao mesmo tempo, no início de 2023. Embora não haja evidências de sobreposição entre os dois clusters de atividade, a Lumen afirmou ser possível que o agente de ameaça tenha se inspirado no playbook do Mustang Panda para atualizar seu próprio malware e passar a suportar o MQTT em versões futuras.
"Usar o MQTT para controlar diversos clientes a partir de um ponto central, combinado com o roteamento via Cloudflare, viabiliza uma operação em larga escala por meio de um método de comunicação não convencional", concluiu a Lumen.
"Acreditamos que o direcionamento desta campanha sustente uma coleta de dados abrangente. Aplicativos móveis e smartwatches conectados a redes celulares podem permitir uma análise de padrões de vida; atingir organizações financeiras pode expor dados de transações, e atacar sistemas de hospitalidade pode revelar histórico e planos de viagem."
