根據 Lumen Technologies 的 Black Lotus Labs 研究報告，一種名為 BambooToken 的跨平台惡意軟體近期被揭露。該惡意軟體自 2023 年 2 月起便已活躍，主要針對亞洲與南美洲的組織進行攻擊，且其活動紀錄一直延伸至 2026 年 7 月。BambooToken 的特殊之處在於其通訊機制與潛入方式，旨在透過非傳統的網路協議來規避安全偵測，從而實現大規模的系統控制與資訊蒐集。
背景與潛入路徑
BambooToken 的攻擊者展現了極高的技術水準，能夠在長時間內保持隱蔽。其核心的潛入手段是利用 DLL Sideloading（動態連結庫側載）。這是一種利用合法程式在啟動時會載入特定名稱 DLL 檔案的特性，將惡意編寫的 DLL 放置在相同目錄下，誘導合法程式載入惡意代碼，從而繞過許多端點偵測與回應（EDR）系統的警報。
具體而言，攻擊者利用了 Tendyron 公司的 OnKey 軟體。OnKey 是一款基於公鑰基礎設施（PKI，一種用於驗證身分並加密通訊的數位證書體系）的 USB 安全令牌設備，廣泛應用於中國的金融與政府部門，用於高安全性環境的身份驗證。雖然 Tendyron 的代碼簽名證書並未被盜用，但攻擊者利用了 OnKey 程式中存在側載漏洞的二進位檔案，將惡意 DLL 檔案（如 OnKeyToken_KEB.dll）植入目標機器，成功在受害者的系統中觸發執行。
核心運作機制：MQTT 通訊協議
BambooToken 最顯著的技術特徵是採用 MQTT（Message Queueing Telemetry Transport，一種輕量級的發佈/訂閱網路傳輸協議）作為其命令與控制（C2）的通訊通道。MQTT 最初是為物聯網（IoT）設備設計的，因為它對頻寬要求極低且傳輸效率高，通常用於感測器與伺服器之間的訊息交換。
在惡意軟體的脈絡中，使用 MQTT 具有極強的隱蔽性。由於許多企業環境中已有大量的 IoT 設備在運行 MQTT 流量，惡意軟體的 C2 通訊很容易混入正常的網路背景雜訊中，使安全管理人員難以將其識別為異常的遠端控制流量。BambooToken 的運作流程分為幾個階段：早期版本會從 .DAT 檔案中提取 C2 伺服器地址，或使用內建的硬編碼地址；隨後蒐集系統詳細資訊並傳回伺服器。伺服器則會透過 MQTT 發送指令，要求惡意軟體載入特定插件、停止運行或斷開連接。
技術演進與跨平台擴展
BambooToken 的攻擊手段隨時間不斷演進。最初版本是透過 PowerShell 腳本作為啟動器（Stager），在記憶體中分配空間並執行惡意檔案。然而，由於 PowerShell 腳本容易觸發 EDR 警報，攻擊者隨後轉向前述的 DLL 側載技術。
此外，該惡意軟體已從單純針對 Windows 系統擴展至支援 Linux 平台。在 Windows 環境中，它還能部署專門的防毒軟體插件，利用 WMI（Windows Management Instrumentation，Windows 管理規範，一套用於管理系統資訊的基礎架構）來偵測目標機器安裝了哪些防毒產品，並將這些資訊回傳給攻擊者，以便採取進一步的規避措施。
影響範圍與實務意義
從受害對象來看，BambooToken 的目標極其廣泛。受影響的實體包括香港的 GitLab 伺服器、越南的行動裝置開發公司與酒店、阿根廷的生物醫學公司、智利的法律事務所，以及馬來西亞的金融機構。許多受感染的伺服器與行動應用程式相關，且 C2 基礎設施利用 Cloudflare 作為代理，進一步掩蓋真實伺服器的位置。
這種針對性的選擇揭示了攻擊者的戰略目的：透過控制行動應用程式與智慧穿戴設備，可以進行生活模式分析（Pattern-of-life analysis）；透過金融機構獲取交易數據；而針對酒店系統則能揭露目標人物的旅行紀錄與計畫。
限制與歸屬分析
儘管目前尚未正式確定該組織的身份，但多項證據指向中國背景。首先，大量樣本來自中國 IP 地址；其次，攻擊者使用了 SoftEther VPN 從虛擬私人伺服器（VPS）連接至 C2 節點，這是典型的特定區域攻擊者慣用手法。此外，其使用 MQTT 的時機與中國國家級駭客組織 Mustang Panda 的 MQsTTang 後門出現時間相近，顯示攻擊者可能參考了對方的技術路徑。
總結來說，BambooToken 代表了一種趨勢：攻擊者不再僅依賴傳統的 HTTP 或 HTTPS 通訊，而是將物聯網協議轉化為控制工具，結合合法軟體的側載漏洞，實現高隱蔽性的跨平台數據蒐集。對於企業而言，僅監控傳統的 C2 流量已不足夠，必須對非標準協議的異常流量以及合法程式的檔案變動保持高度警覺。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。