少なくとも2023年から活動しているこれまで知られていなかったマルウェアフレームワーク「BambooToken」が、Message Queuing Telemetry Transport(MQTT)プロトコルを使ってWindowsおよびLinuxシステムと通信していることが判明しました。
このマルウェアは2024年から2025年にかけて開発された亜種で、コマンド&コントロール(C2)通信にMQTTを採用しており、モバイルアプリ、法律・金融サービス、ソフトウェア開発などで使われるサーバーを侵害しています。
MQTTは主にIoT(モノのインターネット)デバイス向けに設計された軽量なメッセージングプロトコルです。直接的な通信チャネルを使う代わりに、中央のブローカーと「トピック」と呼ばれるチャネルを介して、パブリッシャー(発行者)からサブスクライバー(購読者)へメッセージを中継する仕組みになっています。
MQTT自体は目新しいものではないものの、あまり一般的ではない手法です。サイバーセキュリティ企業のESETは2023年に、これとは無関係のバックドアMQsTTangについて報告書をまとめています。
BambooTokenの場合、感染したマシンは固有の識別子に関連付けられたトピックを購読します。攻撃者はそれらのトピックに対して、感染ホスト上で実行すべきコマンドを発行します。
このマルウェアはブローカーを通じてステータスやシステム情報を発行する一方、購読しているトピックを通じてオペレーターからの指示を受信します。
この方式には、感染システムが攻撃者のインフラに直接接続しないため検知回避性と耐障害性が高まるという利点があります。同時に通信を非同期にできるため、一時的なネットワーク障害が発生しても運用を継続できます。
Lumenの研究部門であるBlack Lotus Labsが本日発表した報告書によると、BambooTokenはデジタル署名されたTendyron OnKey USBトークン用ソフトウェアへのサイドロードや、Kingsoft Officeの生産性向上スイートを装う手口によってシステムに感染していたことが分かりました。
研究者らは、感染ホスト上のアンチウイルス製品を列挙し、その結果をC2に返送するBambooTokenのプラグインを発見しました。また、キーロギング、クリップボードの窃取、音声録音、ウェブカメラでの撮影、スクリーンショットの取得を示す文字列も見つかっています。
ただし、これらの情報は「デッドコード」から回収したものであるため、参照されているモジュールが実際に存在し攻撃で使用されたのか、それとも開発途中だったのかを研究者は確信を持って判断できないとしています。
研究者らは、このキャンペーンに関連付けられる最新の亜種として、Linux版のBambooToken(バージョン2.1、2025年12月に観測)を発見しました。
このLinux版もMQTTを使用しており、広範なシステム情報を収集するほか、コマンドシェルを起動したり、オペレーターがファイルのアップロード、ダウンロード、削除を行ったりすることも可能です。ただしBlack Lotus Labsは、「このLinuxサンプルは依然として開発途中であるように見えた」と述べています。
Lumenのテレメトリでは、主にアジアと南米において、約12件の企業組織が侵害を受けたことが確認されており、対象にはホテル、バイオメディカル企業、法律事務所、金融機関、そしてリトアニアの暗号資産関連ウェブサイトが含まれています。
さらに研究者らは、最も多く侵害されたサーバーが、モバイルアプリケーションのバックエンドインフラに関連するものだったことも突き止めました。
脅威アクターは香港のGitLabサーバーも侵害しており、サプライチェーン攻撃の潜在的な足がかりを築いていた可能性があります。
Lumenは、この活動の一部が、SpeedCNというVPNサービスを利用して中国本土のサービスにアクセスする海外在住の中国系ユーザーを標的にしていた可能性があるとの見方を示しています。
研究者らはBambooTokenの活動を特定の脅威アクターや既知の活動クラスターに帰属させることはできなかったものの、標的の傾向は中国と関係が深い活動と一致していると指摘しています。
Lumenは、防御担当者がこの攻撃活動を検知・遮断できるよう、関連する侵害指標(IoC)を公開しています。
