Die frühen Varianten des BambooToken-Agenten lesen die Adresse ihres Steuerservers aus einer .DAT-Datei aus und greifen andernfalls auf einen fest einprogrammierten Server zurück. Anschließend sammelt die Malware Systeminformationen und übermittelt sie an den C2-Server „chat5188[.]tk“. Von dort erhält sie Befehle, um Plugins zu laden, alle Plugins zu stoppen, die eigene Ausführung zu beenden oder die Verbindung zu trennen.
Spätere Versionen laden eine manipulierte Fassung der Bibliothek „OnKeyToken_KEB.dll“ nach, die vom Programm Tendyron OnKeySrv genutzt wird. Damit erfasst die Malware den Host und wechselt in eine Befehlsschleife, die MQTT als Steuerkanal verwendet. Seit Dezember 2025 hat die Kampagne ihren Wirkungsbereich auf Linux-Systeme ausgeweitet, weiterhin auf MQTT-Basis.
„Die erste Version von BambooToken wurde über ein PowerShell-Skript gestartet“, sagte Ryan English, Information Security Engineer bei Lumen Technologies Black Lotus Labs, gegenüber The Hacker News. Das Skript habe als Stager gedient, Speicher reserviert und die Schaddatei ausgeführt. Sideloading löse vermutlich weniger EDR-Alarme aus, weshalb sich die Vorgehensweise der Angreifer im Lauf der Kampagne geändert habe.
BambooToken sammelt umfangreiche Systemdaten und kann für Windows ein Antiviren-Plugin nachladen, das über das WMI-Framework installierte Schutzprogramme ermittelt und die Ergebnisse an den Server „api80.c2iznja[.]com“ überträgt. Die genutzten Domains liefen laut Black Lotus Labs über Cloudflare als Proxy. Eine Domain der 2025er-Kampagne stieg kürzlich in die Top 500.000 bei Cloudflare Radar auf, eine ältere rangierte auf dem Höhepunkt der Aktivitäten 2024 in den Top 1 Million — für die Forscher ein Hinweis auf eine weit verbreitete Infektion.
Die Forschungsabteilung von Lumen identifizierte zudem IP-Adressen in Singapur, Kambodscha und Vietnam, die mit einem aktiven C2-Knoten kommunizierten; dahinter stehen MikroTik- und DrayTek-Router. Ein Dutzend kompromittierter Einrichtungen wurde in Asien und Südamerika festgestellt. Die überwiegende Mehrheit der betroffenen Server steht im Zusammenhang mit mobilen Anwendungen; hinzu kommen ein GitLab-Server in Hongkong, ein vietnamesisches Unternehmen für ein tragbares Lifestyle-Gerät, ein Hotel in Vietnam, ein Biomedizinunternehmen in Argentinien, eine Anwaltskanzlei in Chile, eine Kryptowährungs-Website in Litauen und eine Finanzorganisation in Malaysia.
Wer hinter der Kampagne steht, ist offen. DLL-Sideloading sowie eine SoftEther-VPN-Verbindung von einem virtuellen Server zu einem der C2-Knoten deuten laut Lumen auf einen China-Bezug hin. Auch die meisten BambooToken-Samples wurden aus chinesischem IP-Adressraum bei VirusTotal hochgeladen.
MQTT als Steuerkanal ist nicht neu: Bereits im Januar 2023 setzte die chinesische staatliche Gruppe Mustang Panda die Hintertür MQsTTang ein, die das IoT-Protokoll zum Abholen und Ausführen von Befehlen nutzte. Beide Familien tauchten Anfang 2023 auf; Überschneidungen sind nicht belegt, Lumen hält jedoch für möglich, dass die Akteure sich MQTT beim Vorbild Mustang Panda abgeschaut haben.
„Die Steuerung zahlreicher Clients über MQTT von einem zentralen Punkt aus, kombiniert mit dem Routing über Cloudflare, ermöglicht großangelegte Operationen über einen unkonventionellen Kommunikationsweg“, so Lumen. Die Zielauswahl spreche für eine umfassende Datensammlung: Mobil-Apps und Smartwatches erlaubten Bewegungsprofile, Finanzorganisationen könnten Transaktionsdaten offenlegen, Hotelsysteme Reisehistorien und -pläne.