BambooToken is een nieuw ontdekte Linux backdoor die gebruikmaakt van het lichtgewicht berichtprotocol MQTT om externe commando's te ontvangen en gegevens te exfiltreren. MQTT, een protocol dat veel wordt toegepast in Internet of Things-omgevingen voor berichtuitwisseling via een centrale broker, wordt door deze malware ingezet voor zijn vermogen om verbindingen te onderhouden en berichten efficiënt te routeren. Bij activering decodeert BambooToken een configuratie van 59 bytes, die informatie bevat over de MQTT broker en een specifieke groepstopic die gebruikt wordt. De backdoor maakt vervolgens verbinding met de broker via TCP-poort 2883 en registreert een offline statusbericht.

Eenmaal geïnstalleerd op een Linux-systeem, biedt BambooToken een aanvaller de mogelijkheid om systeeminformatie te verzamelen, shell-commando's uit te voeren en lokale gegevens te verkrijgen. De malware is uitgerust met een host inventory collector, een command worker en een file manager, die allen communiceren via gecodeerde MQTT topics. Dit stelt de operator in staat om de gecompromitteerde machine te beheren, inclusief het uitvoeren van commando's, het verplaatsen van bestanden en het inzamelen van diverse systeeminformatie.

Wanneer een ONLINE-verzoek wordt ontvangen, verzamelt BambooToken gedetailleerde systeeminformatie. Dit omvat onder andere de gebruikersnaam, hostnaam, besturingssysteemversie, machine-identificatie, netwerkdetails, processor-model en procesinformatie. De malware haalt deze gegevens primair uit het bestand /etc/machine-id, maar kan ook een alternatief pad onder /var/lib/myapp gebruiken indien de primaire locatie niet beschikbaar is.

De shell-functionaliteit van BambooToken is ontworpen om JSON-gecodeerde commando's te accepteren, die vervolgens worden uitgevoerd via `/bin/sh -c`. Elk shell-verzoek start echter een nieuw, losstaand commando in plaats van een interactieve terminalsessie te creëren. De uitvoer van deze commando's wordt vervolgens in blokken van 1024 bytes teruggezonden naar de operator.

De bestandsbeheerfunctionaliteit van de backdoor maakt het mogelijk om mappen te doorzoeken, bestanden van het gecompromitteerde systeem te downloaden, nieuwe bestanden te uploaden en bestanden te verwijderen. Gedownloade bestanden worden verstuurd in segmenten van 128 KiB, voorafgegaan door een JSON-header en gescheiden van de bestandsdata door een NUL-teken. Bij het opvragen van mappenlijsten wordt een opvallende afwijking gerapporteerd: een verkeerd gespeld veld 'flies' verschijnt naast de bestandsnamen, typen, groottes en tijdstempels.

BambooToken maakt gebruik van een herhalende XOR-operatie om zowel zijn payloads als de topic labels te verbergen. De analyse van de malware onthulde ook aanpassingen in de weergave van Windows-stijl paden en tijdwaarden, wat suggereert dat het onderliggende beheer een model volgt dat mogelijk elders is ontwikkeld. De identificatie van deze implant door analisten volgde op het decoderen van een ingebed configuratieblok en het traceren van de MQTT callbacks. Het publish-and-subscribe ontwerp van BambooToken toont gelijkenissen met technieken die beschreven zijn in rapporten over misbruik van MQTT, waarbij een broker de aanvaller kan isoleren van het direct beheerde eindpunt.

De initiële toegangsmethode, het leveringsmechanisme, de operator en specifieke slachtoffercampagnes konden tijdens de analyse niet worden vastgesteld. Verdedigers worden geadviseerd om te zoeken naar onbekende Linux ELF-bestanden die verbinding maken met een broker op poort 2883. Het correleren van deze gebeurtenissen met onderliggende `/bin/sh -c` processen en onverwachte bestandsopeningen kan helpen bij detectie. Gecodeerde MQTT topics, het 'flies'-veld en de manier waarop data wordt opgesplitst bij een NUL-byte zijn eveneens indicatoren voor mogelijke detectie. Organisaties wordt aangeraden onnodig uitgaand MQTT-verkeer te beperken, brokerverbindingen te loggen en verdachte hosts te isoleren alvorens met bewijsverzameling te starten. Bij het reageren op incidenten is het cruciaal om de huidige connectiviteit te valideren, aangezien het gerapporteerde brokeradres mogelijk verouderd is en de infrastructuur niet meer actief kan zijn.