Pesquisadores de cibersegurança revelaram detalhes de uma campanha multiplataforma que usa o protocolo Message Queueing Telemetry Transport, ou MQTT, como canal de comunicação para controlar sistemas Windows e Linux.
A família de malware, identificada pelo codinome BambooToken, estaria ativa desde pelo menos fevereiro de 2023 e foi usada em ataques contra organizações na Ásia e na América do Sul. Atividades ligadas ao malware foram detectadas mais recentemente em julho de 2026.
A Lumen Black Lotus Labs informou que encontrou o malware, até então não documentado, no VirusTotal no início de 2026. As evidências apontam para um threat actor experiente, que conseguiu permanecer sem detecção até agora. Ainda não se sabe qual foi o vetor inicial de acesso usado para distribuir o BambooToken.
Segundo a Black Lotus Labs, o ator usou o software OnKey, da Tendyron, para fazer sideload de agents em máquinas-alvo. A Tendyron fabrica tokens baseados em hardware usados em ambientes de alta segurança para verificar a identidade de usuários e permitir o acesso a estações de trabalho. Em seu site, a empresa lista clientes dos setores financeiro e governamental da China, entre outros segmentos.
O Tendyron OnKey é um token de segurança USB de infraestrutura de chave pública, ou PKI, de segunda geração, projetado para proteger operações de internet banking e transações financeiras. No site, a Tendyron afirma ter 190 milhões de tokens em circulação.
Embora nem o certificado de assinatura de código da Tendyron nem seu ambiente de compilação tenham sido comprometidos em conexão com a atividade, suspeita-se que os operadores estejam explorando um binário vulnerável a DLL sideloading para disparar o ataque dentro de redes-alvo que provavelmente têm o programa instalado.
Além disso, a maior parte das amostras do BambooToken foi enviada ao VirusTotal a partir de endereços IP da China, o que indica uma campanha de coleta de dados voltada a usuários desse país e de nações vizinhas.
O uso de MQTT, um protocolo de rede leve baseado no modelo publish-subscribe, para command and control remoto, ou C2, não é novidade. Em janeiro de 2023, o grupo de hackers ligado ao Estado chinês conhecido como Mustang Panda foi flagrado usando um backdoor chamado MQsTTang, que aproveitava o protocolo de mensagens da IoT para buscar e executar comandos em hosts comprometidos.
Além do MQsTTang, houve apenas algumas campanhas que usaram MQTT até agora. Entre elas estão:
- Um malware para Android chamado Tizi, capaz de coletar dados sensíveis de diversos aplicativos de mensagens e redes sociais, além de usar HTTPS ou MQTT para C2.
- Um loader de malware chamado WailingCrab, também conhecido como WikiLoader, distribuído por meio de e-mails com temas de entrega e transporte. A autoria é atribuída a um grupo de cibercrime chamado Bamboo Spider.
- Um malware de tecnologia operacional, ou OT, chamado IOCONTROL, também conhecido como OrpaCrab, que mirou sistemas IoT e SCADA em Israel e nos Estados Unidos.
As primeiras versões do agente BambooToken funcionavam extraindo o servidor de C2 de um arquivo .DAT ou, se o arquivo não fosse encontrado, recorrendo a um servidor hardcoded. Após essa etapa, o malware coletava detalhes do sistema e os enviava ao servidor de C2, “chat5188[.]tk”. Em resposta, o servidor emitia comandos para carregar um plugin, interromper todos os plugins, encerrar a execução do malware e desconectar-se do servidor de C2.
Versões posteriores do malware passaram a fazer sideload de uma versão maliciosa de uma DLL, “OnKeyToken_KEB.dll”, usada pelo programa Tendyron OnKeySrv. Com isso, o malware consegue enumerar o host e entrar em um ciclo de comandos que usa MQTT para C2. Em dezembro de 2025, o BambooToken ampliou seu alcance para também atacar hosts Linux, ainda com dependência de MQTT.
“A primeira versão do BambooToken era iniciada por um script PowerShell”, disse Ryan English, engenheiro de segurança da informação da Lumen Technologies Black Lotus Labs. “O script PowerShell atuava como um stager, alocando memória e depois executando o arquivo malicioso. Acreditamos que o sideloading provavelmente acionaria menos alertas de EDR, então, à medida que a campanha evoluiu, também evoluíram as TTPs desse threat actor.”
O BambooToken também foi equipado para coletar informações extensas do host e implantar um plugin de antivírus para Windows. Esse plugin usa o framework Windows Management Instrumentation, ou WMI, para reunir dados sobre os produtos de antivírus instalados na máquina e exfiltrá-los para o servidor de C2, “api80.c2iznja[.]com”.
Os pesquisadores recuperaram um plugin do BambooToken que faz o mapeamento de produtos antivírus em hosts infectados e devolve os resultados para o C2. Eles também encontraram strings que indicam keylogging, roubo de conteúdo da área de transferência, gravação de áudio, captura de webcam e captura de telas. No entanto, esses detalhes foram extraídos de “dead code”, o que significa que os pesquisadores não conseguem determinar com confiança se os módulos citados existiram e foram usados nos ataques ou se ainda estavam em desenvolvimento.
“Os domínios usavam Cloudflare como proxy para sua infraestrutura”, disse a Black Lotus Labs. “Um domínio associado à campanha de 2025 recentemente entrou entre os 500.000 domínios mais acessados no Cloudflare Radar. O domínio mais antigo chegou ao top 1 milhão no auge das operações em 2024, indicando infecção ampla ao longo das campanhas desse cluster de atividade.”
A equipe de pesquisa de ameaças da Lumen também informou ter identificado endereços IP geolocalizados em Singapura, Camboja e Vietnã se comunicando com um dos nós ativos de C2. Esses endereços correspondem a roteadores MikroTik e DrayTek. Além disso, uma dúzia de entidades comprometidas foi detectada na Ásia e na América do Sul.
A grande maioria dos servidores comprometidos está associada a aplicativos móveis, além de um servidor GitLab em Hong Kong e de uma empresa vietnamita que desenvolve um dispositivo portátil de gestão de estilo de vida. Outros alvos incluem um hotel no Vietnã, uma empresa biomédica na Argentina, um escritório de advocacia no Chile, um site de criptomoedas na Lituânia e uma organização financeira da Malásia.
Os pesquisadores encontraram uma variante para Linux do malware, o BambooToken versão 2.1, observada pela última vez em dezembro de 2025 e vinculada à campanha. Essa versão também usa MQTT, coleta informações extensas do sistema, pode abrir um shell de comandos e permite aos operadores enviar, baixar e excluir arquivos. Ainda assim, a Black Lotus Labs afirma que “a amostra para Linux ainda parecia estar em desenvolvimento”.
Ainda não se sabe quem está por trás da atividade. Mas o uso de DLL sideloading, combinado com uma conexão SoftEther VPN originada de um Servidor Virtual Privado, ou VPS, para um dos nós de C2, sugere ligação com a China.
Outro ponto relevante é que MQsTTang e BambooToken surgiram praticamente ao mesmo tempo, no início de 2023. Embora não haja evidências de sobreposição entre os dois clusters de atividade maliciosa, a Lumen disse ser possível que o threat actor tenha se inspirado no manual do Mustang Panda para atualizar seu próprio malware e passar a oferecer suporte a MQTT em versões futuras.
“Acreditamos que a escolha dos alvos nesta campanha favorece uma coleta ampla de dados. Aplicativos móveis e relógios inteligentes conectados a redes celulares podem permitir análise de padrões de vida; mirar organizações financeiras pode expor dados de transações, e atacar sistemas de hospitalidade pode revelar histórico e planos de viagem”, concluiu a Lumen.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...