Lumen Black Lotus Labs обнаружили малварь BambooToken, которая применяет MQTT — протокол из IoT — как канал управления заражёнными системами. Кампания действует как минимум с 2023 года, последние следы активности датированы июлем 2026-го.
В Windows вредонос маскируется под легитимный Tendyron OnKeySrv. DLL загружается через DLL sideloading, собирает сведения о системе и подключается к C2. В ранних версиях использовался PowerShell-стейджер.
Через MQTT-брокер операторы загружают плагины, останавливают модули, завершают работу малвари или отключают её от C2. Плагин для Windows через WMI определяет установленный антивирус и передаёт данные атакующим.
С декабря 2025 года BambooToken выявляют и на Linux. Цели включают серверы мобильных приложений, GitLab, финтех, гостиничную, медицинскую и криптовалютную инфраструктуру в Азии и Южной Америке. Часть C2 проксируется через Cloudflare.
Подпишись, тут про технолоджии.
P.S. Меня зовут Бедняков Артем, я разрабатываю backend-решения на Python любой сложности:
- REST API и микросервисы;
- агентные системы и AI-интеграции;
- Telegram-боты и Mini Apps;
- парсеры и автоматизация;
- интеграции с внешними сервисами и API;
- тестирование и CI/CD;
- DevOps и развёртывание;
- аудит и проверки безопасности.
Если вам нужна разработка или есть вопросы по реализации проекта — пишите мне в Telegram
Всегда рад обсудить задачу и помочь найти решение.
Также подписывайтесь на мой Telegram-канал IT POLICE, где я пишу о Python, backend-разработке, технологиях и кибербезопасности.