BambooToken : malware cross-plateforme utilisant MQTT comme canal C2 furtif

Les faits

Des chercheurs de Lumen Black Lotus Labs ont publié le 15 septembre 2026 l'analyse d'une famille de malware jusqu'alors inconnue du public, baptisée BambooToken. Ce qui distingue ce backdoor de la majorité des implants contemporains est le protocole utilisé pour ses communications C2 : MQTT (Message Queuing Telemetry Transport), un protocole initialement conçu pour les objets connectés IoT et les systèmes industriels à faible bande passante.

Les chercheurs ont identifié BambooToken sur la plateforme VirusTotal début 2026. L'analyse des métadonnées et des indicateurs de compromission a permis de reconstituer une activité remontant à au moins février 2023. Les variantes intégrant MQTT comme protocole C2 ont été développées entre 2024 et 2025. Des activités liées au malware ont été détectées aussi récemment que juillet 2026, confirmant que la campagne est toujours active.

MQTT est un protocole de messagerie publish/subscribe léger, standardisé par OASIS, massivement adopté dans les déploiements IoT, les systèmes SCADA et les plateformes de monitoring. Son usage comme protocole C2 est techniquement élégant : le trafic MQTT ressemble à du trafic opérationnel légitime, circule sur le port 1883 (ou 8883 en TLS), et est rarement filtré ou inspecté en profondeur par les dispositifs de sécurité réseau axés sur HTTP/HTTPS.

Techniquement, BambooToken est cross-plateforme et fonctionne aussi bien sur Windows que sur Linux. Une fois installé, le malware collecte des informations étendues sur le système hôte, peut ouvrir un shell interactif pour l'exécution de commandes arbitraires, et supporte les opérations de transfert de fichiers (upload, download, suppression). Il se connecte à un broker MQTT contrôlé par l'attaquant, s'abonne à des topics MQTT spécifiques pour recevoir ses ordres, et publie les résultats de ses opérations sur d'autres topics — une architecture C2 distribuée difficile à distinguer d'un flux IoT légitime.

Le vecteur de livraison identifié par Lumen repose sur une technique de DLL sideloading exploitant le logiciel Tendyron OnKey, un outil de sécurité hardware légitime utilisé pour des tokens d'authentification, principalement répandu en Asie. Cette technique de DLL sideloading correspond à la technique MITRE ATT&CK T1574.002 et permet au malware de bénéficier de la confiance accordée à l'application hôte par les solutions de sécurité endpoint.

La télémétrie de Lumen a permis d'identifier une douzaine d'entités compromises dans des secteurs sensibles : hôtellerie, biotechnologie, cabinets juridiques, organisations financières, et une plateforme de cryptomonnaie en Lituanie. La majorité des victimes se trouvent en Asie et en Amérique du Sud, mais la présence d'une victime européenne indique une portée géographique non limitée.

L'attribution de BambooToken reste non définitive. Lumen décrit l'acteur comme techniquement compétent, ayant démontré une capacité à rester non détecté pendant au moins trois ans — indicateur fort de ressources et de discipline opérationnelle associées à un groupe d'espionnage étatique ou para-étatique. L'absence de ransomware et de revendication publique oriente vers des motivations d'espionnage stratégique à long terme plutôt que vers un gain financier immédiat.

BambooToken s'inscrit dans la tendance "Living off the Land Protocols" (LoLPs) : l'abus de protocoles réseau légitimes pour masquer les communications C2. Des précédents existent avec DNS-over-HTTPS, Slack, Teams, Discord ou GitHub utilisés comme canaux C2 discrets. BambooToken est l'un des premiers cas documentés d'abus de MQTT à grande échelle dans un contexte d'espionnage persistant.

Impact et exposition

L'exposition directe concerne principalement les environnements où le logiciel Tendyron OnKey est déployé. Cependant, la technique de DLL sideloading est adaptable à d'autres applications légitimes et l'architecture C2 MQTT est transférable à d'autres familles de malware. BambooToken révèle un angle mort défensif significatif : peu d'organisations surveillent le trafic MQTT sortant de leurs postes et serveurs, et encore moins ont des règles SIEM pour détecter des patterns C2 via ce protocole. Les environnements OT/ICS qui utilisent nativement MQTT pour leur télémétrie sont particulièrement vulnérables.

Recommandations

• Auditer les connexions sortantes vers des brokers MQTT externes (ports 1883 et 8883) depuis les postes et serveurs — ces flux doivent être bloqués pour tout équipement non-IoT non référencé
• Vérifier la présence du logiciel Tendyron OnKey dans vos inventaires et contrôler l'intégrité des DLL dans son répertoire d'installation via hash SHA-256
• Déployer des règles de détection basées sur les IoC publiés par Lumen Black Lotus Labs dans leur rapport du 15 septembre 2026
• Dans les environnements OT/ICS utilisant MQTT de manière légitime, établir une liste blanche stricte de brokers autorisés et surveiller les anomalies de topics et volumes