BambooToken با استفاده از MQTT سیستم‌های Windows و Linux را کنترل می‌کند

خلاصه خبر
براساس گزارش BleepingComputer، یک چارچوب بدافزاری پیش‌تر ناشناخته با نام BambooToken که از حداقل سال 2023 فعال بوده است، اکنون از پروتکل Message Queuing Telemetry Transport (MQTT) برای برقراری ارتباط هم با سیستم‌های Windows و هم با سیستم‌های Linux بهره می‌برد.

توضیح کوتاه درباره موضوع
MQTT یک پروتکل سبک پیام‌رسانی بر مبنای الگوی publish/subscribe است که در محیط‌های اینترنت اشیاء (IoT) و برای ارتباطات کم‌حجم و با تأخیر پایین کاربرد گسترده‌ای دارد. استفاده از MQTT به مهاجمان امکان می‌دهد تا ارتباطات فرمان و کنترل (C2) خود را از طریق کارگزاری‌های (brokers) MQTT برقرار کنند که می‌تواند بین پلتفرم‌ها مشترک و نسبتاً پنهان باشد.

خلاصه تحلیلی مستقل (بر مبنای منبع)
- پیامدها: استفاده BambooToken از MQTT نشان‌دهنده گرایش مهاجمان به بهره‌گیری از پروتکل‌های رایج و سبک است تا قابلیت عبور از مرزهای پلتفرم (cross-platform) و پنهان ماندن از الگوریتم‌های تشخیص ترافیک متداول را افزایش دهند.
- ریسک‌ها: سازمان‌هایی که سرویس‌ها یا دستگاه‌های IoT را دارند یا کارگزاری‌های MQTT در شبکه خود اجرا می‌کنند در معرض خطر بیشتری قرار دارند، زیرا این پروتکل ممکن است به‌صورت داخلی پذیرفته شده و به‌صورت پیش‌فرض مانیتورینگ کمتری بر آن اعمال شود.
- توصیه‌های عمومی دفاعی: محدود کردن دسترسی به کارگزاری‌های MQTT، احراز هویت و رمزگذاری برای اتصالات MQTT، پایش و آنالیز ترافیک MQTT، جداسازی شبکه و اعمال سیاست فایروال برای پورت‌ها و آدرس‌های مربوطه، به‌روزرسانی و سخت‌سازی نقاط پایانی و اجرای راهکارهای EDR/IDS برای شناسایی رفتارهای مشکوک. همچنین بازبینی لاگ‌ها و جستجوی Indicators of Compromise مرتبط با هرگونه ارتباط MQTT غیرمعمول توصیه می‌شود.

تذکر منبع
اطلاعات فوق بر پایه گزارش BleepingComputer است.