BambooToken malware controls Windows and Linux systems via MQTT
Mis à jour :
BambooToken : Menace multiplateforme utilisant le protocole MQTT
Le framework malveillant BambooToken, actif depuis 2023, cible des systèmes Windows et Linux en utilisant le protocole MQTT (Message Queuing Telemetry Transport) pour ses communications de commande et contrôle (C2). Ce choix technique permet aux attaquants d’opérer de manière asynchrone et discrète, évitant les connexions directes vers leurs serveurs.
Points clés :
- Vecteurs d’infection : Chargement latéral (side-loading) via un logiciel de token USB (Tendyron OnKey) ou usurpation de la suite bureautique Kingsoft Office.
- Fonctionnalités : Énumération des antivirus, exécution de commandes shell, manipulation de fichiers (upload/download/suppression). Des traces de code inactif suggèrent des capacités futures ou non déployées : keylogging, capture d’écran, enregistrement audio et vidéo.
- Cibles : Entreprises en Asie et Amérique du Sud (hôtels, secteur biomédical, juridique, financier) et serveurs backend d’applications mobiles. Un serveur GitLab a également été compromis, soulevant des risques d’attaques sur la chaîne d’approvisionnement.
- Attribution : Bien qu’aucune menace spécifique ne soit identifiée, les modèles de ciblage suggèrent des opérations liées à la Chine.
Vulnérabilités :
- Aucune CVE spécifique n’est associée, l’attaque repose sur le détournement de logiciels légitimes et l’exploitation de configurations réseau autorisant le trafic MQTT vers des brokers tiers.
Recommandations :
- Surveillance réseau : Inspecter le trafic sortant lié au protocole MQTT, qui est inhabituel pour des serveurs d’entreprise standards.
- Gestion des privilèges : Restreindre l’exécution de logiciels non signés ou suspects (notamment les composants associés à des périphériques USB tiers).
- Analyse des indicateurs (IoCs) : Utiliser les indicateurs de compromission fournis par Black Lotus Labs pour scanner les environnements et identifier d’éventuelles machines compromises.
- Sécurisation des serveurs : Appliquer une surveillance renforcée sur les serveurs backend d’applications mobiles et les serveurs GitLab, identifiés comme vecteurs privilégiés.