Malware BambooToken steuert Windows- und Linux-Systeme über MQTT

Security · 15.9.2026

Ein neu entdecktes Schadsoftware-Framework namens BambooToken nutzt das IoT-Protokoll MQTT, um infizierte Windows- und Linux-Systeme unbemerkt zu steuern.

Sicherheitsforscher haben ein bisher unbekanntes Schadsoftware-Framework namens BambooToken identifiziert, das bereits seit mindestens 2023 aktiv ist. Die Besonderheit dieser plattformübergreifenden Malware liegt in der Nutzung des Message Queuing Telemetry Transport (MQTT) Protokolls, um Befehle an infizierte Windows- und Linux-Systeme zu übermitteln. Durch diesen unkonventionellen Kommunikationskanal gelingt es den Angreifern häufig, traditionelle Sicherheitsbarrieren in Unternehmensnetzwerken unbemerkt zu umgehen.

Warum ist das wichtig?

Das MQTT-Protokoll wird standardmäßig in vielen IoT- (Internet of Things) und Industrieumgebungen (OT) zur ressourcenschonenden Datenübertragung eingesetzt. Da dieser Datenverkehr in vielen IT-Infrastrukturen der DACH-Region als legitim eingestuft und selten einer tiefgehenden Inspektion unterzogen wird, bietet er Akteuren ein ideales Versteck. BambooToken nutzt diese Blindspots gezielt aus, um sensible Daten von Endpunkten zu exfiltrieren, Passwörter zu stehlen oder weitere Schadcodes auf Windows- und Linux-Servern nachzuladen. Für IT-Verantwortliche bedeutet dies, dass auch vermeintlich isolierte Protokolle im lokalen Netzwerk genau überwacht werden müssen, da sie als Brücke für komplexe Cyberangriffe dienen können.

Was Nutzer jetzt tun sollten

Um Netzwerke und Endpunkte vor Bedrohungen durch BambooToken zu schützen, sollten Administratoren und IT-Sicherheitsbeauftragte zeitnah konkrete Schutzmaßnahmen implementieren:

• Netzwerk-Monitoring erweitern: Analysieren Sie den Datenverkehr gezielt auf MQTT-Verbindungen (standardmäßig über die Ports 1883 und 8883) zu unbekannten externen IP-Adressen.
• Netzwerksegmentierung konsequent umsetzen: Isolieren Sie IoT- und OT-Geräte strikt vom produktiven Windows- und Linux-Servernetzwerk, um die laterale Ausbreitung von Malware zu verhindern.
• Endpoint-Security aktualisieren: Stellen Sie sicher, dass Ihre EDR-Lösungen (Endpoint Detection and Response) auf allen Plattformen aktiv sind und Anomalien im Prozessverhalten (z. B. unübliche Netzwerkaufrufe durch Systemprozesse) erkennen können.
• MQTT-Kommunikation härten: Setzen Sie bei der Nutzung eigener MQTT-Broker zwingend auf starke Authentifizierungsmethoden und eine durchgehende Transportverschlüsselung (TLS).

Fazit

Die Entdeckung von BambooToken unterstreicht den Trend, dass Angreifer zunehmend legitime und oft vernachlässigte Netzwerkprotokolle für ihre Command-and-Control-Infrastruktur zweckentfremden. Nur durch eine lückenlose Sichtbarkeit des gesamten Netzwerkverkehrs und eine strikte Segmentierung lassen sich solche verdeckten Bedrohungen in modernen IT-Umgebungen effektiv abwehren.

Quelle: BleepingComputer