نحوه استفاده BambooToken از MQTT برای ارتباط با سیستم‌های آلوده
MQTT یک پروتکل پیام‌رسانی سبک (Lightweight Messaging Protocol) است که عمدتاً برای دستگاه‌های اینترنت اشیا (IoT) طراحی شده است. در این معماری، فرستنده و گیرنده مستقیماً با یکدیگر ارتباط ندارند؛ پیام‌ها ابتدا به یک واسطه (Broker) ارسال می‌شوند و سپس از طریق کانال‌هایی به نام تاپیک (Topic) در اختیار مشترکان (Subscribers) قرار می‌گیرند.
اگرچه مهاجمان پیش از این هم از MQTT استفاده کرده‌اند، اما این پروتکل هنوز یکی از روش‌های رایج برای ارتباطات فرماندهی و کنترل (C2) محسوب نمی‌شود. برای مثال، پژوهشگران شرکت امنیت سایبری ESET در سال 2023 یک بکدور مستقل با نام MQsTTang را شناسایی و مستند کردند که از MQTT برای ارتباط با زیرساخت مهاجمان استفاده می‌کرد.
در BambooToken، هر سیستم آلوده پیام‌های مربوط به تاپیک‌های اختصاصی خود را دریافت می‌کند؛ تاپیک‌هایی که با یک شناسه منحصربه‌فرد مشخص می‌شوند. مهاجم نیز دستورات موردنظر خود را در همین تاپیک‌ها منتشر می‌کند تا سیستم‌های آلوده آن‌ها را دریافت و اجرا کنند.
همچنین این بدافزار اطلاعات مربوط به وضعیت و مشخصات سیستم را از طریق واسطه به مهاجم ارسال کرده و دستورات اپراتور را از طریق تاپیک‌های مرتبط با هر سیستم دریافت می‌کند.
این روش ارتباطی باعث می‌شود مهاجم کنترل بیشتری بر ارتباط با سیستم‌های آلوده داشته باشد؛ زیرا این سیستم‌ها مستقیماً با زیرساخت مهاجم ارتباط برقرار نمی‌کنند. به این ترتیب، شناسایی و مسدود کردن ارتباطات مخرب دشوارتر می‌شود و زیرساخت ارتباطی نیز در برابر اختلال‌ها پایداری بیشتری خواهد داشت. علاوه بر این، ارتباطات به‌صورت غیرهمزمان (Asynchronous) انجام می‌شوند؛ بنابراین، حتی در صورت قطع یا اختلال موقت شبکه، امکان ادامه ارتباط و اجرای عملیات بدافزار وجود دارد.
روش استقرار و قابلیت‌های شناسایی‌شده در کد بدافزار
گزارش جدید بخش تحقیقاتی Black Lotus Labs از شرکت Lumen نشان می‌دهد که BambooToken از طریق تکنیک بارگذاری جانبی (Side-loading) روی سیستم‌های هدف مستقر شده است. در این روش، بدافزار در کنار یک نرم‌افزار دارای امضای دیجیتال معتبر قرار می‌گیرد تا از طریق آن روی سیستم اجرا شود. در این مورد، مهاجمان از نرم‌افزار Tendyron OnKey استفاده کرده‌اند که برای کار با توکن‌های USB طراحی شده است. در برخی موارد نیز مهاجمان با جعل هویت مجموعه نرم‌افزاری کینگ‌سافت آفیس (Kingsoft Office)، سیستم‌های هدف را به بدافزار آلوده کرده‌اند.
همچنین، پژوهشگران به یک پلاگین مربوط به BambooToken دست یافتند که آنتی‌ویروس‌های نصب‌شده روی سیستم‌های آلوده را شناسایی کرده و نتایج را به سرور فرماندهی و کنترل (C2) ارسال می‌کند.
علاوه بر این، پژوهشگران در کد بدافزار رشته‌های متنی مرتبط با قابلیت‌های زیر را شناسایی کردند:
- ثبت کلیدهای فشرده‌شده (Keylogging)
- سرقت محتوای کلیپ‌بورد (Clipboard Theft)
- ضبط صدا (Audio Recording)
- ثبت تصاویر وب‌کم (Webcam Capture)
- ثبت اسکرین‌شات (Screenshot Capture)
با این حال، این قابلیت‌ها در بخشی از کد شناسایی شده‌اند که در نمونه مورد بررسی فعال نیست و در جریان اجرای بدافزار مورد استفاده قرار نمی‌گیرد؛ این بخش در اصطلاح کد غیرفعال (Dead Code) نامیده می‌شود. ازاین‌رو، پژوهشگران نمی‌توانند با اطمینان تعیین کنند که این ماژول‌ها در حملات واقعی به کار گرفته شده‌اند یا هنوز در مرحله توسعه قرار داشته و صرفاً در کد باقی مانده‌اند.
نسخه لینوکس BambooToken و زیرساخت‌های هدف
پژوهشگران واریانت لینوکسی BambooToken را با نسخه 2.1 شناسایی کردند که جدیدترین نمونه مرتبط با این کمپین محسوب می‌شود. این واریانت در دسامبر 2025 شناسایی شده است.
این نسخه نیز از MQTT برای برقراری ارتباط استفاده می‌کند و قابلیت‌های زیر را در اختیار اپراتور قرار می‌دهد:
- جمع‌آوری اطلاعات گسترده از سیستم
- دسترسی به شل خط فرمان (Command Shell)
- آپلود فایل روی سیستم آلوده
- دانلود فایل از سیستم آلوده
- حذف فایل‌های موجود روی سیستم
با این حال، به گفته Black Lotus Labs، این نمونه لینوکسی هنوز در مرحله توسعه قرار دارد.
داده‌های تله‌متری (Telemetry) شرکت Lumen نشان می‌دهد که حدود 12 سازمان و مجموعه تجاری به این بدافزار آلوده شده‌اند که بیشتر آن‌ها در آسیا و آمریکای جنوبی قرار داشته‌اند. در میان این اهداف، هتل‌ها، شرکت‌های حوزه پزشکی و زیست‌فناوری، مؤسسات حقوقی، یک سازمان مالی و یک وب‌سایت مرتبط با ارزهای دیجیتال در لیتوانی قرار داشته‌اند.همچنین پژوهشگران دریافتند که بیشتر سرورهای آلوده، بخشی از زیرساخت بک‌اند (Backend) اپلیکیشن‌های موبایل بوده‌اند.
علاوه‌براین، مهاجمان به یک سرور گیت‌لب (GitLab) در هنگ‌کنگ دسترسی پیدا کردند؛ سروری که می‌توانست به‌عنوان نقطه ورود برای حملات زنجیره تأمین مورد استفاده قرار گیرد.
ابهام در منشأ حملات و شاخص‌های نفوذ
Lumen احتمال می‌دهد بخشی از این فعالیت‌ها کاربران چینی ساکن خارج از این کشور را هدف قرار داده باشد؛ کاربرانی که برای دسترسی به سرویس‌های داخل چین از سرویس VPN موسوم به SpeedCN استفاده می‌کردند.
با این حال، پژوهشگران نتوانسته‌اند فعالیت‌های مرتبط با BambooToken را به عامل تهدید یا گروه مشخصی نسبت دهند. به گفته آن‌ها الگوی اهداف شناسایی‌شده با برخی عملیات منتسب به عوامل همسو با چین همخوانی دارد؛ بااین‌حال، این شباهت برای انتساب قطعی فعالیت‌ها به یک عامل یا گروه خاص کافی نیست.
همچنین Lumen مجموعه‌ای از شاخص‌های نفوذ (IoCs) مرتبط با این فعالیت‌ها را منتشر کرده است. تیم‌های امنیتی می‌توانند با استفاده از این شاخص‌ها، نمونه‌های مرتبط را در شبکه‌های خود شناسایی کرده و از برقراری ارتباط آن‌ها با زیرساخت‌های مخرب یا اجرای آن‌ها جلوگیری کنند.
