BambooToken 악성코드, MQTT 프로토콜로 윈도우·리눅스 시스템 원격 조종

한 줄 요약

'BambooToken'라는 이름의 신종 악성코드가 2023년 2월부터 아시아와 남미의 기업들을 노려 윈도우와 리눅스 시스템을 동시에 감염시키고 있습니다. 이 악성코드는 원래 IoT(사물인터넷) 기기에 쓰이는 MQTT라는 가벼운 통신 프로토콜을 원격 조종 채널로 활용해 보안 탐지를 오랫동안 피해왔습니다. 공격자는 Tendyron의 'OnKey'라는 보안 USB 토큰 프로그램의 취약점을 이용해 악성 DLL 파일을 몰래 끼워넣는 방식(DLL 사이드로딩)으로 시스템에 침투합니다. 감염된 시스템에서는 안티바이러스 설치 현황, 호스트 정보 등이 외부 서버로 유출되며, 중국과 연관된 위협 행위자가 배후로 추정됩니다. 금융기관, 호텔, 법률회사, 암호화폐 사이트 등 다양한 업종이 표적이 되었으며 2026년 7월까지도 활동이 확인되었습니다.

사건

BambooToken 악성코드가 MQTT 프로토콜을 C2(원격 명령·제어) 채널로 사용해 아시아·남미 조직의 윈도우 및 리눅스 시스템을 감염시키는 캠페인이 적어도 2023년 2월부터 운영 중이며, 2026년 7월에도 활동이 탐지되었다.

영향

감염 시스템에서 호스트 정보, 설치된 안티바이러스 목록 등이 외부 C2 서버로 유출되며, 금융기관·호텔·법률회사·생체의료 기업·암호화폐 사이트 등 다양한 업종의 수십 개 기관이 피해를 입었다. 모바일 앱·스마트워치 연동 표적은 행동 패턴 분석에도 악용될 수 있다.

원인

Tendyron OnKey 보안 USB 토큰 프로그램이 DLL 사이드로딩에 취약한 바이너리를 포함하고 있어, 공격자가 정상 프로그램에 악성 DLL을 끼워넣는 방식으로 침투한다. Tendyron의 코드서명 인증서나 빌드 환경이 직접 침해된 것은 아니다.

대응

Lumen Black Lotus Labs가 침해지표(IoC)를 포함한 분석 보고서를 공개했다. 조직은 Tendyron OnKey 소프트웨어의 DLL 사이드로딩 위험을 점검하고, 네트워크에서 MQTT 트래픽(기본 포트 1883/8883)을 모니터링해야 한다.

실무 포인트

MQTT 프로토콜은 방화벽·EDR의 감시망을 피하기 쉬워 C2 우회에 점점 더 많이 활용되고 있다. 금융·공공 분야에서 사용되는 PKI 토큰 관련 소프트웨어의 DLL 검색 순서 취약점을 즉시 점검하고, MikroTik·DrayTek 등 엣지 라우터 감염 여부도 확인이 필요하다.

본문

사이버보안 연구자들이 MQTT(Message Queueing Telemetry Transport, 경량 발행-구독형 네트워크 프로토콜) 프로토콜을 통신 채널로 활용해 윈도우 및 리눅스 시스템을 제어하는 다중 플랫폼 캠페인의 세부 내용을 공개했다.

BambooToken으로 명명된 이 신종 악성코드 계열은 적어도 2023년 2월부터 활동 중인 것으로 평가되며, 아시아와 남미 전역의 조직을 겨냥한 공격에 사용되고 있다. 이 악성코드와 연관된 활동은 2026년 7월에도 탐지되었다.

Lumen Black Lotus Labs는 2026년 초 VirusTotal에서 이전까지 알려지지 않은 해당 악성코드를 발견했으며, 지금까지 탐지를 피해온 숙련된 위협 행위자가 배후에 있다는 증거를 확인했다고 밝혔다.

Black Lotus Labs는 The Hacker News와 공유한 보고서에서 "공격자는 Tendyron의 'OnKey' 소프트웨어를 이용해 표적 시스템에 에이전트를 사이드로드했다"고 설명했다. "Tendyron은 워크스테이션 접근 시 사용자 신원을 확인하는 고보안 환경용 하드웨어 기반 토큰을 제작하는 기업으로, 자사 웹사이트에 중국의 금융 및 정부 분야 고객사를 비롯한 다양한 업종의 고객사를 공개하고 있다."

Tendyron OnKey는 온라인 뱅킹과 금융 거래 보호를 목적으로 설계된 2세대 PKI(공개키 기반구조) USB 보안 토큰 겸 인증 장치다. Tendyron은 자사 웹사이트에서 1억 9,000만 개의 토큰이 유통 중이라고 밝히고 있다.

이번 활동과 관련해 Tendyron의 코드서명 인증서나 빌드 환경이 직접 침해된 것은 아니지만, 공격자들은 DLL 사이드로딩에 취약한 바이너리를 악용해 해당 프로그램이 설치되어 있을 가능성이 높은 표적 네트워크 내에서 공격을 실행한 것으로 추정된다.

또한 대부분의 BambooToken 샘플이 중국 IP 주소 대역에서 VirusTotal에 업로드된 점으로 미루어, 중국 내 및 인근 국가 사용자를 대상으로 한 데이터 수집 캠페인임을 시사한다.

MQTT를 원격 C2(명령·제어) 채널로 활용하는 수법은 새로운 것이 아니다. 이미 2023년 1월, 중국 국가 지원 해킹 그룹으로 알려진 Mustang Panda가 IoT 메시징 프로토콜을 이용해 감염 호스트에서 명령을 가져와 실행하는 MQsTTang이라는 백도어를 사용한 사례가 확인된 바 있다.

MQsTTang 외에도 현재까지 MQTT를 활용한 캠페인은 소수에 불과하다.

Tizi: 각종 메신저·소셜미디어 앱에서 민감한 데이터를 수집하고, HTTPS 또는 MQTT를 C2로 사용하는 안드로이드 악성코드.
WailingCrab (일명 WikiLoader): 배송·물류 테마의 이메일로 유포되는 악성코드 로더. Bamboo Spider라는 사이버범죄 그룹의 소행으로 귀속된다.
IOCONTROL (일명 OrpaCrab): 이스라엘과 미국의 IoT 및 SCADA 시스템을 표적으로 삼은 OT(운영 기술) 악성코드.

BambooToken 에이전트의 초기 버전은 .DAT 파일에서 C2 서버 주소를 추출하거나, 해당 파일이 없을 경우 하드코딩된 서버로 폴백하는 방식으로 동작한다. 이 단계가 완료되면 악성코드는 시스템 정보를 수집해 C2 서버("chat5188[.]tk")로 전송하고, 서버로부터 플러그인 로드·전체 플러그인 중지·악성코드 실행 종료·C2 서버 연결 해제 명령을 받는다.

이후 버전에서는 Tendyron OnKeySrv 프로그램이 사용하는 DLL("OnKeyToken_KEB.dll")의 악성 버전을 사이드로드해 호스트를 열거하고, MQTT를 C2로 활용하는 명령 루프에 진입한다. 2025년 12월부터 BambooToken은 MQTT 기반 C2를 유지하면서 리눅스 호스트까지 표적 범위를 확대했다.

BambooToken은 방대한 호스트 정보 수집 기능을 갖추고 있으며, 윈도우용 안티바이러스 플러그인을 제공해 WMI(Windows Management Instrumentation) 프레임워크를 통해 설치된 안티바이러스 제품 정보를 수집한 뒤 C2 서버("api80.c2iznja[.]com")로 유출한다.

Black Lotus Labs는 "해당 도메인들은 Cloudflare를 인프라 프록시로 사용했다"고 밝혔다. "2025년 캠페인에서 사용된 도메인 중 하나는 최근 Cloudflare Radar 상위 50만 도메인에 진입했다. 구형 도메인은 2024년 활동 최절정기에 상위 100만 도메인에 랭크된 바 있어, 이 활동 클러스터의 캠페인 전반에 걸쳐 광범위한 감염이 이루어졌음을 알 수 있다."

Lumen의 위협 연구 부서는 싱가포르·캄보디아·베트남에 지리적으로 위치한 IP 주소들이 활성 C2 노드 중 하나와 통신하고 있음도 확인했다. 이 IP 주소들은 MikroTik 및 DrayTek 라우터에 해당한다. 또한 아시아와 남미에서 수십 개의 침해 기관이 탐지되었다.

침해된 서버의 대다수는 모바일 애플리케이션과 관련되어 있으며, 홍콩의 GitLab 서버와 휴대용 라이프스타일 관리 장치를 개발하는 베트남 기업도 포함된다. 그 밖의 표적으로는 베트남의 호텔, 아르헨티나의 생체의료 기업, 칠레의 법률회사, 리투아니아의 암호화폐 웹사이트, 말레이시아의 금융기관이 있다.

배후 세력은 아직 확인되지 않았다. 그러나 DLL 사이드로딩 기법의 사용과 더불어 VPS(가상 사설 서버)에서 C2 노드 중 하나로 SoftEther VPN 연결이 이루어진 점은 중국과의 연관성을 시사한다.

Lumen은 "MQTT를 이용해 중앙 지점에서 수많은 클라이언트를 제어하는 방식과 Cloudflare를 통한 라우팅이 결합되면, 비일상적인 통신 방법을 통한 대규모 작전 수행이 가능해진다"고 결론지었다.

"이 캠페인의 표적 선정은 광범위한 데이터 수집을 목적으로 한다고 판단된다. 셀룰러 네트워크에 연결된 모바일 앱과 스마트워치는 행동 패턴 분석(pattern-of-life analysis)을 가능하게 하고, 금융기관 공격은 거래 데이터를 노출시킬 수 있으며, 숙박 시스템 침해는 여행 기록과 계획을 드러낼 수 있다."