BambooToken: Malware afeta Linux e Windows

O malware BambooToken acendeu um alerta para profissionais de segurança digital e administradores de servidores Linux e Windows. A ameaça utiliza um protocolo comum em dispositivos inteligentes e sistemas de automação, o MQTT, para receber comandos de seus operadores e controlar máquinas infectadas.

O que torna esse caso preocupante é a capacidade de se misturar ao tráfego legítimo de uma rede. Em empresas que já utilizam MQTT para comunicação entre dispositivos, identificar uma conexão maliciosa pode ser mais difícil do que parece.

Uma investigação do Black Lotus Labs, divisão de pesquisa de ameaças da Lumen, identificou uma campanha que está ativa desde fevereiro de 2023. Os pesquisadores observaram atividades até julho de 2026, incluindo ataques contra servidores Linux, máquinas Windows e ambientes corporativos.

Entre os alvos identificados está um servidor GitLab, utilizado para hospedar projetos e trabalhar com código-fonte. Isso amplia a preocupação, já que uma invasão desse tipo pode colocar em risco não apenas um computador, mas também sistemas e aplicações relacionados.

O que é o malware BambooToken?

O BambooToken é um malware capaz de operar em sistemas Windows e Linux e que permite que seus operadores obtenham informações sobre computadores infectados e enviem comandos remotamente.

A ameaça chamou a atenção dos pesquisadores no início de 2026, quando amostras até então desconhecidas foram encontradas no VirusTotal. Mas uma análise profunda dos seus arquivos revelou que sua estrutura já existia desde 2023.

Segundo o Black Lotus Labs, não foi possível associar a campanha a nenhum grupo conhecido de criminosos, por isso, ela é tratada como uma atividade emergente.

Ao longo do tempo, os responsáveis pelo malware modificaram seus métodos de comunicação e ampliaram suas capacidades. Uma das mudanças mais relevantes foi a adoção do MQTT, que permite trocar mensagens por meio de um intermediário.

Como o BambooToken funciona?

Nas primeiras versões analisadas, o malware utilizava um arquivo chamado Update.log para iniciar suas atividades e executar código diretamente na memória do sistema.

Depois de entrar em funcionamento, o agente coletava informações sobre o computador, como:

Arquitetura do processador e quantidade de memória.
Informações sobre CPU e endereço MAC.
Endereço IP público.
Dados do sistema e de arquivos.

Essas informações eram enviadas para uma infraestrutura controlada pelos operadores. A partir das respostas recebidas, o malware podia carregar ou interromper plugins, encerrar sua execução ou desconectar o agente.

Nas versões posteriores, o BambooToken passou a utilizar o MQTT para transportar essas instruções.

Como um protocolo legítimo ajuda a esconder o malware?

O MQTT, sigla para Message Queuing Telemetry Transport, é um protocolo leve de comunicação bastante utilizado em dispositivos IoT, automação e sistemas de telemetria.

Seu funcionamento é baseado em um modelo de publicação e assinatura. Um dispositivo publica mensagens em determinados tópicos, enquanto outros se inscrevem nesses tópicos para receber as informações.

No meio dessa comunicação existe um componente chamado broker, responsável por distribuir as mensagens entre os participantes.

É justamente essa característica que interessa aos operadores do BambooToken.

Em vez de precisar manter uma comunicação direta entre o computador infectado e o servidor principal de comando e controle, o malware pode utilizar o broker como intermediário. Isso ajuda a separar o equipamento comprometido da infraestrutura que envia as instruções.

Na prática, o agente infectado se inscreve em tópicos específicos e publica mensagens informando seu estado. Os operadores podem enviar comandos de maneira assíncrona, sem depender de uma conexão direta tradicional.

Esse método pode dificultar a identificação da ameaça em redes onde o MQTT já é utilizado normalmente.

É importante entender que o MQTT não é um protocolo malicioso. Ele é usado legitimamente em diversos setores e oferece mecanismos de autenticação e criptografia, incluindo suporte a TLS.

O problema está no uso desse canal para transportar comandos maliciosos. Quando uma empresa permite conexões MQTT sem monitorar quem está utilizando o protocolo e com qual finalidade, pode acabar abrindo espaço para atividades suspeitas.

O uso do MQTT em ataques não é totalmente novo. A ESET já havia documentado o MQsTTang, um backdoor que também utilizava esse protocolo para se comunicar com seus operadores. O BambooToken combina essa abordagem com suporte a diferentes sistemas operacionais e técnicas adicionais de execução.

Como o BambooToken infecta computadores Windows?

Nas campanhas direcionadas ao Windows, os pesquisadores identificaram uma técnica conhecida como DLL side-loading.

Ela consiste em aproveitar um programa legítimo para carregar uma biblioteca DLL maliciosa durante sua execução.

Uma das aplicações envolvidas é o OnKey, da Tendyron, utilizado em tokens USB relacionados à autenticação e a serviços criptográficos.

O arquivo malicioso identificado como OnKeyToken_KEB.dll era carregado pelo processo OnKeySrv, permitindo que o código do malware fosse executado dentro do fluxo de um programa aparentemente legítimo.

Isso não significa que o certificado digital da Tendyron tenha sido quebrado ou comprometido. De acordo com os pesquisadores, o executável legítimo possuía uma assinatura válida, mas apresentava condições que permitiam esse tipo de carregamento indevido.

Outra variante utilizava uma identidade associada à Zhuhai Kingsoft Office Software e imitava componentes relacionados a programas de escritório. A investigação também não encontrou evidências de comprometimento dos certificados de assinatura da Kingsoft ou da Tendyron.

O que isso significa para quem administra computadores?

Um programa assinado digitalmente não deve ser considerado automaticamente seguro. É necessário verificar de onde ele foi executado, quais bibliotecas carrega e se seu comportamento corresponde à função esperada.

Uma aplicação conhecida pode acabar servindo de caminho para a execução de código malicioso, mesmo sem ter seu certificado digital comprometido.

A Variante Linux amplia o alcance da ameaça

A presença do BambooToken no Linux é um dos pontos que mais merecem atenção. A versão 2.1, compilada para Linux e observada inicialmente em dezembro de 2025, apresenta semelhanças técnicas importantes com as variantes Windows. O Black Lotus Labs avalia, com alto grau de confiança, que ambas fazem parte da mesma atividade.

A variante Linux pode funcionar como um daemon, ou seja, um processo executado em segundo plano. Ela também consegue decodificar configurações armazenadas no próprio binário e utiliza uma estrutura MQTT diferente daquela encontrada nas versões anteriores.

Depois de iniciar, o agente se inscreve em tópicos utilizados para receber instruções. Entre os comandos identificados estão funções relacionadas a plugins, remoção de plugins, execução de LUA e identificação do próprio agente.

Os recursos analisados permitem que o malware aguarde comandos remotos para:

Abrir um shell, oferecendo acesso à linha de comando.
Transferir arquivos.
Coletar informações do sistema.
Enviar sinais periódicos indicando que continua ativo.

A coleta de dados pode incluir informações sobre processos, threads, CPU, memória, arquitetura, versão do sistema operacional, identificadores do computador e configurações de rede.

Isso permite que os operadores conheçam melhor o ambiente comprometido e acompanhem a atividade do agente.

O malware também pode espionar usuários

A análise das variantes Windows identificou um plugin que utiliza o Windows Management Instrumentation (WMI) para listar produtos antivírus instalados no computador.

Com esses dados, os operadores podem descobrir quais ferramentas de proteção estão presentes no sistema infectado.

Os pesquisadores também encontraram referências no código a possíveis funções de espionagem, incluindo:

Registro de teclas digitadas, conhecido como keylogging.
Acesso à área de transferência.
Gravação de áudio.
Captura de imagens da webcam.
Captura da tela.

Existe, porém, uma ressalva importante: essas funções foram encontradas em trechos de código que não estavam sendo executados nas amostras analisadas, o que é conhecido tecnicamente como dead code.

Por isso, não há confirmação de que todos esses recursos estivessem ativos ou fossem utilizados pelos operadores. É importante separar as capacidades sugeridas pelo código daquilo que foi efetivamente observado durante a investigação.

Servidores Linux e GitLab são alvos preocupantes!

Servidores Linux são amplamente utilizados em empresas para hospedar aplicações, armazenar informações e executar serviços internos.

Muitos desses equipamentos também têm acesso a recursos importantes, como código-fonte, credenciais, tokens de acesso, chaves SSH e arquivos utilizados em processos de integração e entrega contínuas, conhecidos como CI/CD.

O levantamento do Black Lotus Labs identificou um servidor GitLab comprometido em Hong Kong, além de servidores relacionados a aplicações móveis e empresas de desenvolvimento de software.

Mas o risco vai além da máquina invadida. Se um invasor consegue acessar um ambiente utilizado para desenvolver, compilar ou distribuir programas, ele pode encontrar caminhos para atingir outros sistemas ou comprometer componentes de software.

Esse tipo de situação está relacionado aos riscos de ataques à cadeia de suprimentos, também conhecidos como supply chain attacks.

Em termos simples, imagine uma empresa que desenvolve um aplicativo e utiliza um servidor para armazenar seu código. Se esse servidor for comprometido, o invasor poderá ter acesso a informações que ajudam a entender como o aplicativo é produzido e distribuído.

Isso não significa que todo servidor GitLab infectado resultará automaticamente em um ataque à cadeia de suprimentos. O risco depende dos acessos disponíveis, das permissões e do que o invasor consegue fazer após a invasão.

O BambooToken já atingiu empresas de diferentes setores

A telemetria analisada pelo Black Lotus Labs identificou aproximadamente uma dúzia de organizações corporativas comprometidas.

A maioria estava localizada na Ásia, mas também foram observadas organizações na América do Sul.

Entre os alvos identificados estavam empresas de desenvolvimento de software, servidores ligados a aplicações móveis, um hotel no Vietnã, uma empresa biomédica na Argentina, uma organização financeira na Malásia, uma empresa jurídica no Chile e um site de criptomoedas na Lituânia.

Essa diversidade mostra que a ameaça não deve ser tratada apenas como um problema de computadores Windows.

Servidores Linux, roteadores, sistemas de desenvolvimento e back-ends de aplicações também precisam entrar no planejamento de segurança.

Como se proteger do malware BambooToken?

Para administradores de sistemas, o primeiro passo é verificar quais equipamentos realmente precisam utilizar MQTT e quais destinos estão autorizados.

Se um servidor Linux que nunca deveria utilizar esse protocolo começa a estabelecer conexões externas por MQTT, esse comportamento merece investigação.

Veja algumas medidas que ajudam a reduzir os riscos:

1. Monitore conexões MQTT

Acompanhe as conexões de saída, principalmente nas portas tradicionalmente associadas ao protocolo:

Porta 1883, normalmente utilizada para MQTT sem TLS.
Porta 8883, frequentemente utilizada para MQTT com TLS.

Essas portas não são prova de infecção. O objetivo é identificar conexões inesperadas e entender se existe uma finalidade legítima para elas.

2. Identifique clientes MQTT desconhecidos

Crie alertas para máquinas que utilizam MQTT sem uma justificativa operacional conhecida.

Mantenha uma lista dos equipamentos autorizados e dos brokers que fazem parte da infraestrutura da empresa.

3. Analise mensagens e tópicos

Quando a arquitetura da rede permitir, inspecione operações MQTT como PUBLISH e SUBSCRIBE.

Também monitore os brokers corporativos, observando clientes conectados, tópicos utilizados, padrões de autenticação e volumes incomuns de mensagens.

4. Utilize ferramentas EDR e XDR

Implemente ferramentas de detecção e resposta em endpoints e servidores Windows e Linux.

Dê atenção especial a processos que abrem shells, transferem arquivos ou apresentam atividades incompatíveis com a função daquele equipamento.

5. Reduza os riscos de DLL side-loading

No Windows, aplique políticas de execução, listas de permissões de aplicações e controles sobre os diretórios dos quais programas podem carregar bibliotecas.

Também investigue aplicações legítimas que apresentem comportamentos incomuns ou carreguem DLLs de locais inesperados.

6. Mantenha servidores e componentes atualizados

Atualize sistemas operacionais, roteadores, bibliotecas e componentes utilizados nos processos de CI/CD.

Acompanhe também as dependências dos projetos e os fornecedores de software utilizados pela organização.

7. Monitore a saída de dados

Observe transferências de grandes volumes de informações para destinos externos, mesmo quando eles parecem estar geograficamente próximos.

Uma conexão aparentemente comum pode merecer atenção quando o volume, a frequência ou o comportamento fogem do padrão esperado.

8. Revise a segurança dos equipamentos de rede

Evite deixar serviços administrativos, como SNMP, expostos desnecessariamente à internet.

Revise credenciais, permissões e configurações padrão de roteadores e outros dispositivos conectados à infraestrutura.

Bloquear o MQTT resolve o problema?

Não necessariamente.

Empresas que utilizam dispositivos IoT, automação e telemetria podem depender do MQTT para manter seus serviços funcionando. Bloquear todas as conexões pode prejudicar operações legítimas sem resolver as causas do problema.

A recomendação é controlar o uso do protocolo de maneira específica.

Defina quais máquinas podem utilizar MQTT, quais brokers estão autorizados, para onde as conexões podem ser direcionadas e qual comportamento é esperado de cada equipamento.

O objetivo é diferenciar o tráfego legítimo de atividades que não fazem sentido dentro da rede.

Também é necessário combinar o monitoramento de rede com a análise de processos, o controle de credenciais e a proteção dos ambientes de desenvolvimento.

Conclusão

O BambooToken mostra por que servidores também precisam de vigilância e como um malware pode combinar técnicas conhecidas com protocolos legítimos para controlar computadores e coletar informações.

Sua atuação em Windows e Linux, o uso do MQTT e a capacidade de executar comandos remotamente tornam a ameaça relevante para empresas que mantêm servidores, aplicações e ambientes de desenvolvimento conectados.

Para quem administra uma infraestrutura, a recomendação é revisar agora o uso do MQTT, monitorar conexões externas e verificar se os processos em execução correspondem à finalidade de cada máquina.

Não basta olhar apenas para atualizações e programas instalados. É necessário observar também o comportamento dos sistemas e o tráfego que sai da rede.

Se você trabalha com Linux, Windows, DevOps ou segurança da informação, compartilhe este artigo com sua equipe e ajude mais profissionais a conhecer os riscos do BambooToken. Deixe um comentário contando como sua organização monitora conexões MQTT e quais medidas utiliza para proteger seus servidores.

Fonte: securityarsenal.com