El malware BambooToken controla sistemas Windows y Linux a través de MQTT

Un nuevo y des­co­no­ci­do fra­me­work de có­di­go ma­li­cio­so lla­ma­do Bam­boo­To­ken, ac­ti­vo desde el año pa­sa­do, ha in­cor­po­ra­do el pro­to­co­lo MQTT para ges­tio­nar sis­te­mas ope­ra­ti­vos Win­dows y Linux. Esta va­rian­te que em­plea dicho pro­to­co­lo fue de­sa­rro­lla­da entre dos mil vein­ti­cua­tro y dos mil vein­ti­cin­co, afec­tan­do a ser­vi­do­res de apli­ca­cio­nes mó­vi­les, ade­más de ser­vi­cios ju­rí­di­cos, fi­nan­cie­ros y de de­sa­rro­llo de soft­wa­re.

El uso de este pro­to­co­lo li­ge­ro, tí­pi­ca­men­te em­plea­do en dis­po­si­ti­vos de in­ter­net de las cosas, per­mi­te que las má­qui­nas com­pro­me­ti­das se sus­cri­ban a ca­na­les es­pe­cí­fi­cos sin en­la­zar­se de forma di­rec­ta con la in­fra­es­truc­tu­ra del ata­can­te. De este modo, los ope­ra­do­res en­vían ins­truc­cio­nes y los equi­pos afec­ta­dos res­pon­den con datos del sis­te­ma y es­ta­dos a tra­vés de un in­ter­me­dia­rio cen­tral, lo que apor­ta mayor re­sis­ten­cia, ca­pa­ci­dad de eva­sión y ope­ra­cio­nes asín­cro­nas ante in­te­rrup­cio­nes de la red.

La in­fec­ción se pro­du­ce me­dian­te la carga la­te­ral a tra­vés del soft­wa­re fir­ma­do di­gi­tal­men­te de un token USB o imi­tan­do a una suite ofi­má­ti­ca. Los ex­per­tos lo­ca­li­za­ron com­po­nen­tes para exa­mi­nar pro­gra­mas an­ti­vi­rus, así como frag­men­tos orien­ta­dos a re­gis­trar pul­sa­cio­nes, robar por­ta­pa­pe­les y cap­tu­rar audio, cá­ma­ra o pan­ta­llas, aun­que ad­vier­ten que estos úl­ti­mos co­rres­pon­den a có­di­go inac­ti­vo y po­dría tra­tar­se de fun­cio­nes en de­sa­rro­llo, al igual que una va­rian­te re­cien­te para Linux ob­ser­va­da en di­ciem­bre del pe­rio­do ana­li­za­do.

Las de­tec­cio­nes al­can­za­ron a cerca de una do­ce­na de en­ti­da­des cor­po­ra­ti­vas, prin­ci­pal­men­te en Amé­ri­ca del Sur y Asia, abar­can­do ho­te­les, em­pre­sas bio­mé­di­cas, bu­fe­tes, una or­ga­ni­za­ción fi­nan­cie­ra, un sitio de crip­to­mo­ne­das y ser­vi­do­res de apli­ca­cio­nes mó­vi­les, in­clu­yen­do un ser­vi­dor com­pro­me­ti­do en Hong Kong. Aun­que no se pudo vin­cu­lar la cam­pa­ña con un grupo es­pe­cí­fi­co, los pa­tro­nes de ata­que coin­ci­den con ope­ra­cio­nes ali­nea­das con China, y se han com­par­ti­do in­di­ca­do­res de com­pro­mi­so para fa­ci­li­tar la de­fen­sa.