BambooToken 악성코드, MQTT로 윈도우·리눅스 시스템 제어

BambooToken이라는 이전에 알려지지 않은 악성코드 프레임워크가 최소 2023년부터 활동하며, MQTT(Message Queuing Telemetry Transport) 프로토콜을 이용해 윈도우·리눅스 시스템과 통신하고 있습니다.

이 악성코드는 2024년~2025년 사이에 개발된 변종부터 명령·제어(C2) 통신에 MQTT를 채택했으며, 모바일 앱 백엔드 서버와 법률·금융 서비스, 소프트웨어 개발 분야의 서버를 침해했습니다.

MQTT는 원래 IoT(사물인터넷) 기기를 위해 설계된 경량 메시지 프로토콜입니다. 직접 통신 채널 대신 중앙 브로커와 '토픽(topic)'이라는 채널을 통해 발행자(publisher)의 메시지를 구독자(subscriber)에게 전달합니다.

MQTT 자체는 새로운 기술이 아니지만, C2에 활용하는 방식은 드뭅니다. 보안기업 ESET의 연구자들은 2023년에 MQsTTang이라는 별개의 백도어 악성코드를 문서화한 바 있습니다.

BambooToken의 경우, 감염된 기기는 고유 식별자에 연결된 토픽을 구독합니다. 공격자는 해당 토픽에 명령을 발행(publish)하는 방식으로 감염 호스트에 명령을 전달합니다.

악성코드는 브로커를 통해 상태 정보와 시스템 정보를 발행하고, 구독한 토픽을 통해 운용자의 지시를 수신합니다.

악성코드 코드에 하드코딩된 토픽

출처: Lumen

이 방식의 장점은 감염 시스템이 공격자 인프라에 직접 연결되지 않아 탐지 회피와 복원력이 높아진다는 점입니다. 또한 통신이 비동기적으로 이루어져 일시적인 네트워크 장애 시에도 운용 연속성이 보장됩니다.

Lumen 산하 연구 조직 Black Lotus Labs의 오늘 보고서에 따르면, BambooToken은 디지털 서명된 Tendyron OnKey USB 토큰 소프트웨어에 사이드로딩하거나 Kingsoft Office 생산성 제품군으로 위장하는 방식으로 시스템에 감염됩니다.

연구자들은 감염 호스트에서 안티바이러스 제품을 열거해 C2로 결과를 전송하는 BambooToken 플러그인을 발견했습니다. 또한 키로깅, 클립보드 탈취, 오디오 녹음, 웹캠 캡처, 스크린샷 캡처를 가리키는 문자열도 확인했습니다.

다만 이들 세부 정보는 '죽은 코드(dead code)' 영역에서 발견된 것이므로, 해당 모듈이 실제로 존재했고 공격에 사용됐는지, 아니면 아직 개발 중이었는지 단정하기 어렵다고 연구자들은 밝혔습니다.

.rdata 파일의 죽은 코드 섹션에서 발견된 문자열

출처: Lumen

연구자들은 이번 캠페인과 연관 지을 수 있는 가장 최신 버전(2025년 12월 관측)으로 BambooToken 리눅스 변종 버전 2.1을 발견했습니다.

이 변종 역시 MQTT를 사용하고, 광범위한 시스템 정보를 수집하며, 명령 셸을 실행할 수 있고, 운용자가 파일을 업로드·다운로드·삭제할 수 있습니다. 다만 Black Lotus Labs는 "리눅스 샘플은 아직 개발 중인 것으로 보인다"고 밝혔습니다.

Lumen의 텔레메트리 분석 결과, 주로 아시아·남미에 소재한 호텔, 바이오의료 기업, 법무법인, 금융기관, 리투아니아 소재 암호화폐 사이트 등 약 12개 기업 피해 사례가 확인됐습니다.

또한 연구자들은 가장 많이 침해된 서버들이 모바일 애플리케이션의 백엔드 인프라와 연관돼 있음을 발견했습니다.

위협 행위자는 홍콩 소재 GitLab 서버도 침해해, 공급망 공격의 발판이 될 수 있는 거점을 확보했습니다.

Lumen은 일부 활동이 SpeedCN VPN 서비스를 통해 본토 서비스에 접근하는 해외 중국인 사용자를 표적으로 삼았을 가능성이 있다고 추정합니다.

연구자들이 BambooToken 활동을 특정 위협 행위자나 알려진 활동 클러스터에 귀속시키지는 못했지만, 표적화 패턴이 중국과 연계된 작전과 일치한다고 언급합니다.

Lumen은 방어자들이 공격을 탐지·차단할 수 있도록 이번 활동과 관련된 침해지표(IoC)를 공개했습니다.