BambooToken Malware Uses MQTT to Control Windows and Linux Systems
Mis à jour :
Menace BambooToken : Utilisation du protocole MQTT pour le contrôle à distance
Points clés
- Activité : Découverte d’une campagne de cyberespionnage active depuis février 2023, ciblant principalement des organisations en Asie et en Amérique du Sud.
- Méthode de communication : Le malware BambooToken détourne le protocole de messagerie IoT MQTT (Message Queueing Telemetry Transport) pour établir des communications avec ses serveurs de commande et de contrôle (C2).
- Infection : Le vecteur initial reste inconnu, mais le malware exploite le DLL sideloading en utilisant des composants légitimes du logiciel « OnKey » de Tendyron pour s’exécuter furtivement.
- Expansion : Initialement limité à Windows, le malware a évolué pour infecter des systèmes Linux. Il utilise des proxies Cloudflare et des routeurs compromis pour masquer ses infrastructures.
- Objectif : Collecte massive de données (espionnage industriel, analyse de profils d’utilisateurs, données financières et historiques de voyage).
Vulnérabilités exploitées
- DLL Sideloading : Le malware injecte des agents malveillants (notamment
OnKeyToken_KEB.dll) en tirant parti de la manière dont certaines applications chargent leurs bibliothèques dynamiques. Cette méthode permet de contourner les alertes des solutions EDR.
Recommandations de sécurité
- Surveillance réseau : Inspecter le trafic sortant lié au protocole MQTT, qui est rarement nécessaire pour des postes de travail standards ou des serveurs critiques.
- Contrôle des applications : Restreindre l’exécution des logiciels tiers non autorisés, particulièrement ceux liés aux jetons d’authentification ou aux outils de gestion de clés (PKI).
- Analyse des terminaux : Rechercher la présence de fichiers DLL suspects dans les répertoires d’installation des applications légitimes (notamment les dossiers Tendyron).
- Durcissement des systèmes : Désactiver les composants inutilisés, auditer les scripts PowerShell (souvent utilisés comme « stagers ») et mettre en place une segmentation réseau stricte pour limiter la communication vers des domaines suspects.