BambooToken è una nuova famiglia di malware multi-piattaforma che usa MQTT, un protocollo leggero molto diffuso, come canale di comando e controllo per sistemi Windows e Linux. La campagna, attiva almeno da febbraio 2023 e osservata ancora a luglio 2026, mostra un dato importante per le aziende: gli attaccanti stanno scegliendo tecniche meno appariscenti, capaci di passare inosservate più a lungo anche in ambienti protetti.
Per una PMI italiana il punto non è solo “chi è stato colpito finora”, ma come viene condotto l’attacco: sideloading di DLL, uso di software legittimo già presente in azienda, raccolta di informazioni sui sistemi e comunicazioni nascoste dietro servizi e infrastrutture comuni. È uno schema che può essere riutilizzato ben oltre le aree geografiche finora osservate.
Che cos’è BambooToken e perché desta attenzione
La notizia è stata resa pubblica il 15 settembre 2026 da The Hacker News sulla base di una ricerca di Lumen Black Lotus Labs. Secondo i ricercatori, BambooToken è una famiglia di malware finora non documentata che prende di mira sia macchine Windows sia sistemi Linux.
L’attività sarebbe iniziata almeno a febbraio 2023, mentre rilevamenti collegati alla campagna risultano ancora presenti a luglio 2026. Questo dettaglio è rilevante: non si tratta di un esperimento durato poche settimane, ma di un’operazione che ha mostrato continuità e capacità di adattamento.
I ricercatori indicano che la campagna ha colpito organizzazioni in Asia e Sud America. Al momento non è stato attribuito con certezza un responsabile, ma il livello tecnico osservato suggerisce un attore esperto, in grado di restare sotto traccia per lungo tempo.
Il punto tecnico che conta: MQTT usato come canale di controllo
L’aspetto più interessante di BambooToken è l’uso di MQTT come protocollo di command-and-control, cioè il canale attraverso cui il malware riceve istruzioni e invia dati raccolti dal sistema compromesso.
MQTT nasce per scenari leggeri e distribuiti, spesso collegati al mondo IoT, e proprio per questo può risultare meno sospetto rispetto ad altri meccanismi più tipicamente associati al malware. Non è la prima volta che viene sfruttato in ambito offensivo, ma resta una scelta relativamente rara rispetto ai canali più tradizionali.
Per un’azienda questo significa una cosa semplice: il traffico malevolo non arriva necessariamente con modalità grossolane o facilmente bloccabili. Può somigliare a traffico applicativo legittimo, soprattutto se non esiste un controllo accurato delle comunicazioni in uscita, dei processi che le generano e dei server verso cui si collegano.
Come entra BambooToken nei sistemi
La catena iniziale di compromissione non è stata ancora chiarita. È però emerso che gli operatori hanno sfruttato il software “OnKey” di Tendyron per caricare componenti malevoli sulle macchine bersaglio.
Tendyron produce token hardware usati in contesti ad alta sicurezza per verificare l’identità degli utenti nell’accesso alle workstation. Il prodotto citato dai ricercatori, Tendyron OnKey, è un dispositivo PKI USB di seconda generazione pensato per proteggere, tra l’altro, operazioni bancarie e finanziarie online. Sul proprio sito, l’azienda dichiara 190 milioni di token in circolazione.
Il punto importante è che, secondo quanto riportato, non risultano compromessi né il certificato di firma del produttore né il suo ambiente di build. Il sospetto dei ricercatori è diverso: gli attaccanti avrebbero approfittato di un binario vulnerabile al DLL sideloading.
In pratica, un programma legittimo carica una libreria malevola al posto di quella attesa, consentendo l’avvio del malware senza dover ricorrere a eseguibili chiaramente sospetti. È una tecnica insidiosa perché sfrutta software già presente nell’ambiente e può ridurre la probabilità di allerta da parte di alcuni strumenti EDR.
L’evoluzione della campagna: da PowerShell a Linux
Le prime versioni di BambooToken, secondo Lumen, venivano avviate tramite uno script PowerShell usato come stager: allocava memoria ed eseguiva il file malevolo. Col tempo, però, la campagna si è evoluta verso il sideloading, probabilmente proprio per abbassare ulteriormente la visibilità delle attività malevole.
Le versioni iniziali estraevano il server di comando da un file .DAT o, in assenza di questo, ricadevano su un server incorporato nel codice. Una volta attivo, il malware raccoglieva informazioni di sistema e le inviava al server indicato dai ricercatori come “chat5188[.]tk”. Da lì potevano arrivare comandi per caricare plugin, fermarli, interrompere il malware o chiudere la connessione.
Le varianti successive impiegano una DLL malevola chiamata “OnKeyToken_KEB.dll”, caricata dal programma Tendyron OnKeySrv. Da quel momento il malware enumera l’host e avvia un ciclo di comandi basato su MQTT.
Un altro elemento da non sottovalutare è l’estensione ai sistemi Linux a partire da dicembre 2025. Per molte aziende questo è un campanello d’allarme: server Linux, macchine di sviluppo, appliance e servizi interni spesso ricevono meno attenzione rispetto ai PC Windows degli utenti, ma sono bersagli preziosi.
Che cosa raccoglie e come si nasconde
BambooToken è progettato per raccogliere molte informazioni sull’host compromesso. Inoltre, su Windows può distribuire un plugin dedicato all’analisi dell’antivirus installato sulla macchina. Questo componente usa WMI, il framework di gestione di Windows, per ottenere dettagli sui prodotti di sicurezza presenti e inviarli a un altro server di comando citato dai ricercatori: “api80.c2iznja[.]com”.
In altre parole, il malware non si limita a “stare dentro”: studia il sistema, comprende quali difese sono attive e adatta la propria permanenza.
Black Lotus Labs segnala anche che i domini usati dall’infrastruttura erano protetti dietro Cloudflare. Uno dei domini associati alla campagna 2025 è recentemente entrato nei primi 500.000 domini secondo Cloudflare Radar; un dominio più vecchio aveva raggiunto il primo milione nel picco operativo del 2024. Per i ricercatori questo suggerisce un’infezione relativamente estesa all’interno di questo cluster di attività.
Chi è stato colpito finora
Le prove raccolte indicano entità compromesse in Asia e Sud America. I ricercatori hanno osservato indirizzi IP geolocalizzati a Singapore, Cambogia e Vietnam in comunicazione con uno dei nodi C2 attivi; tali IP corrisponderebbero a router MikroTik e DrayTek.
Tra i sistemi compromessi figurano soprattutto server collegati ad applicazioni mobili, ma anche un server GitLab a Hong Kong e una società vietnamita che sviluppa un dispositivo portatile per la gestione dello stile di vita. Altri bersagli citati sono un hotel in Vietnam, un’azienda biomedicale in Argentina, uno studio legale in Cile, un sito di criptovalute in Lituania e un’organizzazione finanziaria malese.
Questo elenco mostra che non esiste un solo settore bersaglio. Finanza, legale, turismo, biomedicale, sviluppo software: l’elemento comune è il valore dei dati e l’interesse operativo delle infrastrutture colpite.
Cosa significa per la tua azienda
Anche se la campagna descritta non risulta focalizzata sull’Italia, il modello di attacco è assolutamente rilevante per una PMI italiana.
Primo: il rischio non riguarda solo il phishing tradizionale. Qui si sfruttano componenti legittimi, librerie caricate in modo improprio e protocolli non immediatamente sospetti. Serve quindi una strategia di sicurezza che controlli non solo i file in ingresso, ma anche comportamento dei processi, connessioni in uscita e anomalie sui sistemi.
Secondo: Windows e Linux vanno protetti insieme. Nelle piccole e medie imprese capita spesso che i PC utente siano seguiti meglio dei server Linux, dei NAS o delle macchine applicative. Questo caso conferma che gli attaccanti cercano continuità tra ambienti diversi.
Terzo: il software di terze parti va gestito con attenzione. Se un programma interno o specialistico può essere usato per il sideloading, il rischio non dipende solo dalla “bontà” del produttore, ma da come l’applicativo è installato, aggiornato e monitorato.
In pratica, per ridurre l’esposizione conviene:
- censire i software installati, soprattutto quelli usati per autenticazione, firma, accesso sicuro e gestione dispositivi;
- verificare quali sistemi Windows e Linux comunicano verso Internet e verso quali destinazioni;
- controllare l’avvio di DLL e librerie da percorsi anomali;
- limitare l’esecuzione di script e strumenti amministrativi quando non necessari;
- mantenere copie di sicurezza isolate e testate, utili se l’incidente richiede contenimento rapido o ripristino.
Per molte PMI, il passo realistico non è “comprare un prodotto in più”, ma mettere ordine: monitoraggio, aggiornamenti, privilegi minimi e una gestione coerente del parco macchine. Se manca una visione centralizzata di PC e server, conviene valutare un servizio di desktop IT management e un rafforzamento della sicurezza informatica. Sul fronte della continuità operativa, avere un remote backup verificato resta una misura essenziale.
Un segnale più ampio: il malware si adatta agli strumenti aziendali reali
La lezione più utile di BambooToken è questa: gli attaccanti non cercano solo vulnerabilità tecniche, ma punti di appoggio compatibili con gli strumenti realmente in uso nelle organizzazioni.
Quando un malware sfrutta software legittimo, protocolli leggeri e infrastrutture che mascherano bene il traffico, la difesa non può basarsi soltanto su blacklist o antivirus tradizionale. Servono procedure operative: sapere cosa è installato, chi può eseguire cosa, quali server devono parlare con l’esterno e quali no.
Per un imprenditore o un responsabile d’ufficio, questo si traduce in una domanda semplice da porre al proprio fornitore IT: se un software legittimo venisse usato come cavallo di Troia, ce ne accorgeremmo in tempi rapidi?
Domande frequenti
BambooToken colpisce solo grandi organizzazioni?
No. Le vittime osservate appartengono a settori diversi e non tutte sono grandi enterprise. Il punto è il valore operativo dei sistemi e dei dati, non solo la dimensione dell’azienda.
MQTT è un protocollo pericoloso di per sé?
No. È un protocollo legittimo e molto usato. Il problema nasce quando viene sfruttato come canale di comando da un malware, rendendo più difficile distinguere il traffico sospetto da quello normale.
Se uso Linux sono al sicuro da questa minaccia?
No. Secondo i ricercatori, da dicembre 2025 BambooToken ha esteso il proprio raggio d’azione anche ai sistemi Linux, oltre a Windows.