Investigadores descubrieron BambooToken, un malware multiplataforma que utiliza el protocolo MQTT para controlar sistemas Windows y Linux en Asia y Sudamérica. El ataque aprovecha vulnerabilidades de DLL sideloading en el software de seguridad Tendyron OnKey para infiltrarse y recolectar datos sensibles. Se sospecha que el grupo responsable tiene vínculos con China y busca realizar un espionaje masivo a través de diversas organizaciones.

Investigadores de ciberseguridad han revelado detalles de una campaña multiplataforma que utiliza el protocolo Message Queueing Telemetry Transport (MQTT) como canal de comunicación para controlar sistemas Windows y Linux.

La emergente familia de malware, llamada BambooToken, se estima que ha estado activa al menos desde febrero de 2023 y se ha utilizado en ataques contra organizaciones en Asia y América del Sur. Se ha detectado actividad vinculada a este malware tan recientemente como en julio de 2026.

Lumen Black Lotus Labs afirmó que descubrió el malware, previamente indocumentado, en VirusTotal a principios de 2026, con evidencias que apuntan a un actor de amenazas experto que ha logrado permanecer indetectado hasta ahora.

"El actor utilizó el software 'OnKey' de Tendyron para cargar agentes mediante sideloading en las máquinas objetivo", señaló Black Lotus Labs en un informe. "Tendyron crea tokens basados en hardware empleados en entornos de alta seguridad para verificar las identidades de los usuarios para el acceso a estaciones de trabajo. Su sitio web enumera clientes en los sectores financiero y gubernamental de China, entre otros verticales".

Tendyron OnKey es un dispositivo de autenticación y token de seguridad USB de Infraestructura de Clave Pública (PKI) de segunda generación, diseñado para proteger la banca en línea y las transacciones financieras. En su sitio web, Tendyron afirma tener 190 millones de tokens en circulación en circulación.

Aunque ni el certificado de firma de código de Tendyron ni su entorno de compilación han sido comprometidos en relación con esta actividad, se sospecha que los operadores confían en un binario vulnerable al sideloading de DLL para activar el ataque dentro de las redes objetivo que probablemente tengan instalado el programa.

Además, la mayoría de las muestras de BambooToken han sido cargadas en la plataforma VirusTotal desde el espacio de direcciones IP chino, lo que indica una campaña de recolección de datos dirigida a usuarios dentro de China y otros países vecinos.

El uso de MQTT, un protocolo de red ligero de publicación-suscripción, para el comando y control (C2) remoto no es un fenómeno nuevo. Ya en enero de 2023, se observó que el grupo de hacking estatal chino conocido como Mustang Panda utilizaba un backdoor llamado MQsTTang que empleaba el protocolo de mensajería IoT para obtener y ejecutar comandos en hosts comprometidos.

Además de MQsTTang, hasta la fecha solo ha habido un puñado de campañas que han utilizado MQTT:

* Un malware de Android llamado Tizi que puede recolectar datos sensibles de varias aplicaciones de mensajería y redes sociales, además de usar HTTPS o MQTT para su C2.
* Un cargador de malware llamado WailingCrab (también conocido como WikiLoader) que se distribuye a través de mensajes de correo electrónico con temática de entregas y envíos. Se atribuye a un grupo de cibercrimen llamado Bamboo Spider.
* Un malware de tecnología operativa (OT) llamado IOCONTROL (también conocido como OrpaCrab) que ha tenido como objetivo sistemas IoT y SCADA en Israel y EE. UU.

Las primeras iteraciones del agente BambooToken funcionan extrayendo el servidor C2 de un archivo .DAT, o recurriendo a un servidor preconfigurado si no se encuentra el archivo. Una vez completado este paso, el malware procede a recopilar detalles del sistema y transmitirlos al servidor C2 ("chat5188[.]tk"). En respuesta, el servidor emite comandos para cargar un complemento, detener todos los complementos, finalizar la ejecución del malware y desconectarse del servidor C2.

Versiones posteriores del malware cargan una versión maliciosa de una DLL ("OnKeyToken_KEB.dll") utilizada por el programa Tendyron OnKeySrv para enumerar el host y entrar en un bucle de comandos que utiliza MQTT para el C2. A partir de diciembre de 2025, BambooToken ha ampliado su alcance para atacar también hosts Linux mientras sigue dependiendo de MQTT.

BambooToken está equipado para recolectar amplia información del host y entregar un complemento antivirus para Windows que utiliza el marco de Instrumentación de Administración de Windows (WMI) para obtener detalles sobre los productos antivirus instalados en la máquina y exfiltrarlos al servidor C2 ("api80.c2iznja[.]com").

"Los dominios utilizaban Cloudflare como proxy para su infraestructura", afirmó Black Lotus Labs. "Un dominio asociado con la campaña de 2025 entró recientemente en el top 500,000 de dominios en Cloudflare Radar. El dominio más antiguo se situó en el top 1 millón en el punto máximo de las operaciones en 2024, lo que indica una infección generalizada en las campañas de este grupo de actividad".

El brazo de investigación de amenazas de Lumen también señaló que identificó direcciones IP geolocalizadas en Singapur, Camboya y Vietnam comunicándose con uno de los nodos C2 activos. Estas direcciones IP corresponden a routers MikroTik y DrayTek. Además, se han detectado una docena de entidades comprometidas en Asia y América del Sur.

La gran mayoría de los servidores comprometidos están asociados con aplicaciones móviles, así como un servidor GitLab en Hong Kong y una empresa vietnamita que desarrolla un dispositivo portátil de gestión del estilo de vida. Otros objetivos incluyen un hotel en Vietnam, una empresa biomédica en Argentina, un bufete de abogados en Chile, un sitio web de criptomonedas en Lituania y una organización financiera malasia.

En esta etapa se desconoce quién está detrás de la actividad. Pero el uso de sideloading de DLL, junto con una conexión SoftEther VPN originada desde un Servidor Privado Virtual (VPS) hacia uno de los nodos C2, sugiere un nexo con China.

"El uso de MQTT para controlar numerosos clientes desde un punto central, combinado con el enrutamiento a través de Cloudflare, permite una operación a gran escala a través de un método de comunicación no convencional", concluyó Lumen.

"Creemos que la selección de objetivos de esta campaña respalda una recolección de datos extensiva. Las aplicaciones móviles y los relojes inteligentes conectados a redes celulares podrían permitir el análisis de patrones de vida; atacar organizaciones financieras podría exponer datos de transacciones, y atacar sistemas de hostelería podría revelar historiales y planes de viaje".

Fuente:
THN