新種マルウェア「BambooToken」が発覚、MQTTプロトコルを悪用しWindowsとLinuxを遠隔制御

要点

• セキュリティ研究機関が、WindowsおよびLinux環境を遠隔操作する新種マルウェア「BambooToken」の調査結果を公表した。

• IoT機器向けの軽量通信規格「MQTT」を遠隔制御の通信路として悪用し、少なくとも2023年2月からアジアや南米で潜伏活動を続けていた。

• 中国Tendyron社製の認証トークン用ソフトウェアに存在する脆弱性を突き、正規プログラムを装って不正なファイルを読み込ませていた。

• バージョンアップに伴い標的をLinux環境へ広げたほか、導入されているセキュリティ製品の情報を収集するプラグインの配信機能などを備えている。

• セキュリティ企業Lumen Technologiesの研究部門であるBlack Lotus Labsは2026年9月15日、WindowsとLinuxの双方を標的とするマルウェア「BambooToken」に関する調査報告を公開した。

• このマルウェアは、IoT機器やセンサーなどのデータ通信で広く利用される軽量プロトコル「MQTT（Message Queueing Telemetry Transport）」を指令サーバーとの通信に悪用し、長期にわたり検知を免れながら活動していたという。

• 調査によると、BambooTokenは少なくとも2023年2月から攻撃に用いられており、直近では2026年7月にも活動が確認されている。

長期潜伏とアジア・南米の組織を狙った攻撃活動

Black Lotus Labsの発表によると、同社は2026年初頭にマルウェア分析プラットフォーム「VirusTotal」上で未確認だったBambooTokenを発見した。これまでの痕跡から、高度なスキルを持つ攻撃者が関与しており、長期間にわたってセキュリティ監視の網をすり抜けていたとみられている。

侵害の対象となっているのは、主にアジアおよび南米に拠点を置く組織だ。これまでに約12の組織や事業体で被害が確認されており、侵害されたサーバーの大半はモバイルアプリケーションに関連するシステムであったという。また、シンガポール、カンボジア、ベトナムなどの地域に存在するMikroTik製やDrayTek製のルーターが、稼働中の指令ノードと通信を行っている実態も特定された。

さらに、VirusTotalへアップロードされた検体の大部分が中国のIPアドレス空間から送信されていたことから、中国国内およびその周辺諸国のユーザーを対象とした広範なデータ収集活動が行われていた可能性が指摘されている。

認証トークンソフトのDLLサイドローディングによる侵入

BambooTokenの侵入手法として特徴的なのが、中国のTendyron（テンディロン）社が開発するセキュリティソフトウェア「OnKey」の悪用である。

Tendyron OnKeyは、オンラインバンキングや金融取引の安全性を担保するために用いられる第2世代の公開鍵暗号基盤（PKI）対応USBセキュリティトークンおよび認証デバイスだ。同社の公式ウェブサイトによると、中国の金融機関や政府機関など多数の顧客を抱え、1億9000万個以上のトークンが流通しているとされる。

Black Lotus Labsによると、Tendyron社自体のコード署名証明書やビルド環境が直接侵害されたわけではないという。攻撃者は、該当ソフトウェアが導入されている可能性が高い標的ネットワークを狙い、プログラムが持つ「DLLサイドローディング（正規の実行ファイルに不正な動的リンクライブラリを読み込ませる攻撃手法）」の脆弱性を利用してマルウェアエージェントを実行させていたとみられる。

バージョンアップによるLinux対応と情報収集機能の強化

BambooTokenは時間の経過とともに機能を拡張させている。

初期のバージョンでは、設定ファイル（.DATファイル）から指令サーバーの情報を読み出し、ファイルが見つからない場合は内部に直接書き込まれたサーバー情報へ接続する仕組みをとっていた。端末のシステム情報を収集して指令サーバー（chat5188[.]tk）へ送信した後、サーバー側から届く指示に応じてプラグインの読み込みや停止、マルウェア自体の終了や接続切断を実行する。

その後の改良版では、Tendyronの常駐プログラム（OnKeySrv）が参照するDLLファイル「OnKeyToken_KEB.dll」の不正バージョンをサイドロードし、端末情報の調査とMQTTを用いたコマンド待機ループに入る仕様へと変更された。

さらに2025年12月以降は、攻撃対象を従来のWindowsに加えてLinuxホストへも拡大している。収集可能な端末情報が大幅に強化されたほか、Windows向けには管理基盤「WMI（Windows Management Instrumentation）」を利用して端末に導入されているウイルス対策ソフトの詳細を探索・取得し、外部サーバー（api80.c2iznja[.]com）へ送信する専用プラグインを送り込む機能も確認された。

指令インフラの規模とMQTT悪用の特異性

BambooTokenが構築した攻撃インフラは大規模な規模に達している。攻撃者は通信インフラのプロキシとしてCloudflareを利用していた。Black Lotus Labsの分析によれば、2025年のキャンペーンで使われたドメインの1つはCloudflare Radarのトラフィックランキングで上位50万位以内に入り、2024年の活動ピーク時に使われていた古いドメインも上位100万位以内にランクインしていたという。このトラフィック量は、広範な感染活動が行われていたことを示している。

なお、指令サーバーとの通信にMQTTプロトコルを利用する手法は、サイバー攻撃全体を見ても極めて珍しい。パブリッシュ／サブスクライブ（出版・購読）型の通信モデルを持つMQTTは軽量で効率的なデータ伝送を可能にするが、過去にこれを遠隔操作に用いた例はごく一部に限られる。

これまでに観測された主な事例としては、2023年1月に中国の国家支援サイバー集団Mustang Pandaが欧州などを標的としたバックドア「MQsTTang」のほか、メッセージアプリ等から情報を盗むAndroidマルウェア「Tizi」、サイバー犯罪集団Bamboo Spiderがメールで拡散したローダー「WailingCrab（別名WikiLoader）」、イスラエルや米国の産業制御システムを狙った「IOCONTROL（別名OrpaCrab）」が存在する程度だという。