С февраля 2023 года по июль 2026 года в корпоративных сетях Азии и Южной Америки действовала неизвестная ранее вредоносная программа BambooToken. Она заражает компьютеры под управлением Windows и Linux, а команды получает через MQTT - облегчённый протокол обмена сообщениями, который обычно связывает устройства интернета вещей с контроллерами. Среди пострадавших - серверы, обслуживающие мобильные приложения, и юридическая фирма в Чили. В списке также финансовая организация в Малайзии, отель во Вьетнаме, биомедицинская компания в Аргентине и сервер GitLab в Гонконге. Активность продолжалась как минимум до конца июля 2026 года.
Описание
На машины жертв вредоносный модуль попадал через легитимную программу OnKey компании Tendyron. Этот продукт подтверждает личность пользователя по криптографическому ключу на USB-носителе, его применяют в китайских банках и государственных учреждениях. Сертификат разработчика злоумышленники не подделывали. Они нашли в самой программе уязвимость, позволяющую подгрузить рядом с ней посторонний файл. Такой приём называют боковой подгрузкой. Большинство образцов попало на публичные сканеры из китайского адресного пространства, а серверы, с которыми они связывались, расположены в Китае и соседних странах.
Связь с управляющим сервером построена необычно. MQTT работает по схеме публикации и подписки: сообщения уходят в тематические каналы, а распределяет их центральный узел-брокер. Исследование Black Lotus Labs показало, что в вредоносных программах такая схема встречается крайне редко - за всю историю наблюдений её использовали лишь три семейства. Выгода для атакующих очевидна: заражённая машина не обращается к серверу напрямую, а сам сервер скрыт за брокером. Брокер же решает, допускать ли устройство к каналу, поэтому посторонний наблюдатель не видит управляющую инфраструктуру целиком.
Первые образцы датируются февралём 2023 года. Тогда программа обменивалась с сервером обычными веб-запросами, собирала сведения о компьютере и ждала команд. К 2025 году появилась версия с MQTT, а в декабре 2025 года - сборка для Linux с самой подробной описью узла. Анализ показал, что обе версии собраны из общей кодовой базы и в одной среде разработки.
Возможности оператора выходят за рамки простого наблюдения. Программа запускает командную оболочку, загружает, выгружает и удаляет файлы, останавливает свою работу по команде. Раз в пять секунд она отправляет на сервер перечень установленных антивирусов. Собранные сведения позволяют понять, какие средства защиты стоят на машине, и подобрать инструменты обхода.
Случайная ошибка разработчика выдала более широкие замыслы. В одном из образцов сохранились фрагменты неисполняемого кода - строки, намекающие на перехват нажатий клавиш, доступ к буферу обмена, запись звука и снимки с веб-камеры и экрана. Всё это открывает путь к учётным данным и содержимому переписки. Метаданные образцов указывали на сборку в старой среде разработки, что говорит о тщательной маскировке.
Инфраструктура прячется за прокси-службой Cloudflare. Один из доменов в конце 2025 года вошёл в пятьсот тысяч самых популярных адресов по версии Cloudflare Radar, а прежний в 2024 году держался в первой миллионной. Столь высокая позиция говорит о массовости заражений. Среди жертв оказались и роутеры MikroTik и DrayTek. Перед атакой злоумышленники сканировали сети по протоколу SNMP (простому протоколу сетевого управления), который отвечает за удалённую настройку маршрутизаторов. Часть заражённых устройств выходила на связь через VPN-сервис для китайских пользователей за рубежом, а один узел в Гонконге совпадал по времени работы с активностью C2-сервера.
Подбор целей указывает на сбор разноплановых данных. Мобильные приложения и смарт-часы раскрывают распорядок дня владельца, финансовые организации - сведения о платежах, гостиничные системы - историю поездок и планы. Захват сервера GitLab и подрядчика по разработке создаёт риск атаки на цепочку поставок: получив доступ к нескольким узлам, злоумышленник расширяет присутствие через доверительные связи. Это заметно повышает ценность добычи.
Защита начинается с учёта зависимостей и контроля сборочного конвейера. Роутеры стоит обновлять и настраивать так, чтобы они не отвечали на внешние запросы управления и не использовали заводские пароли. Помогают системы обнаружения и реагирования на конечных точках с централизованным мониторингом. Полезны и правила межсетевого экрана, отмечающие нетипичные протоколы вроде MQTT за пределами организации. Отдельного внимания требуют крупные объёмы данных, уходящие из сети, даже когда получатель расположен в том же регионе.
Активность сосредоточена в Юго-Восточной Азии и Южной Америке. Группировки, связанные с Китаем, уже обкатывали приёмы на малозаметных целях, а после успеха переносили их на стратегически важные объекты. BambooToken с его редким способом связи, широким набором инструментов и опытом массовых кампаний показывает, что подготовка к такому переносу идёт прямо сейчас.
Индикаторы компрометации
