Der Kommunikationsweg von BambooToken folgt der Logik von MQTT: Das infizierte System abonniert Topics, die an eine eindeutige Kennung gebunden sind. Der Angreifer veröffentlicht darüber die Befehle, die auf den befallenen Rechnern ausgeführt werden sollen. Umgekehrt meldet die Schadsoftware Status- und Systeminformationen über den Broker zurück.
Der Vorteil für die Angreifer liegt darin, dass infizierte Systeme keine direkte Verbindung zur Infrastruktur der Täter aufbauen. Das erschwert die Entdeckung und macht den Aufbau widerstandsfähiger. Zugleich verläuft die Kommunikation asynchron, sodass der Betrieb auch bei zeitweiligen Netzstörungen weiterläuft.
Zur Erstinfektion setzten die Angreifer laut Black Lotus Labs auf Side-Loading über digital signierte Software des USB-Tokens Tendyron OnKey oder auf die Nachahmung der Bürosoftware Kingsoft Office.
Die Forscher konnten ein Plugin von BambooToken sichern, das installierte Antivirenprodukte auf dem befallenen Rechner auflistet und die Ergebnisse an den Command-and-Control-Server zurückmeldet. Darüber hinaus fanden sie Zeichenketten, die auf Tastatureingaben-Mitschnitt, Auslesen der Zwischenablage, Audioaufzeichnung, Webcam-Zugriff und Bildschirmaufnahmen hindeuten. Diese Hinweise stammen allerdings aus totem Code, weshalb die Forscher nicht sicher sagen können, ob die genannten Module tatsächlich existierten und eingesetzt wurden oder sich noch in Entwicklung befanden.
Als jüngste dem Feldzug zuzuordnende Ausprägung beobachteten die Forscher im Dezember 2025 eine Linux-Variante, BambooToken Version 2.1. Auch sie kommuniziert über MQTT, sammelt umfangreiche Systeminformationen, kann eine Befehlsshell starten und erlaubt das Hoch- und Herunterladen sowie das Löschen von Dateien. Black Lotus Labs schränkt jedoch ein: “Das Linux-Sample schien sich noch in Entwicklung zu befinden.”
Unter den rund zwölf identifizierten kompromittierten Unternehmen finden sich Hotels, Biomedizinfirmen, Anwaltskanzleien, eine Finanzorganisation sowie eine Kryptowährungs-Website in Litauen. Die meisten betroffenen Server gehörten zur Backend-Infrastruktur mobiler Anwendungen.
Besonders heikel ist die Kompromittierung eines GitLab-Servers in Hongkong, die den Angreifern einen möglichen Ausgangspunkt für Lieferkettenangriffe verschafft. Lumen vermutet zudem, dass sich ein Teil der Aktivitäten gegen im Ausland lebende chinesische Nutzer richtete, die über den VPN-Dienst SpeedCN auf Dienste in Festlandchina zugreifen.