تحلیل‌های اخیر از بدافزار BambooToken نشان می‌دهد که این Implant لینوکسی با استفاده از یک ساختار ساده اما موثر، کنترل کامل سیستم هدف را به دست می‌گیرد. این بدافزار از یک Blob پیکربندی کوچک برای شناسایی و برقراری ارتباط با سرور کنترل‌کننده (C2) خود استفاده می‌کند.
مکانیزم ارتباطی و معماری
این بدافزار برای مدیریت دستورات و تبادل داده‌ها از پروتکل MQTT استفاده می‌کند. با تحلیل Callbacks مربوط به MQTT، می‌توان عملکرد این برنامه را به سه بخش اصلی تقسیم کرد:
- جمع‌آوری اطلاعات میزبان (Host Inventory Collector): شناسایی مشخصات سیستم و جمع‌آوری داده‌های محیطی.
- اجرای دستورات شل (Shell Command Worker): امکان اجرای دستورات سیستم‌عامل به صورت Remote.
- مدیریت فایل‌ها (File Manager): قابلیت دسترسی، آپلود و دانلود فایل‌ها از سیستم قربانی.
پنهان‌سازی و امنیت ارتباطات
برای جلوگیری از شناسایی توسط سیستم‌های IDS/IPS، این بدافزار از یک کلید XOR تکرار شونده برای رمزنگاری پیام‌های ارسالی و دریافتی در Topicهای MQTT استفاده می‌کند. این روش باعث می‌شود ترافیک شبکه برای تحلیل‌گران امنیتی مبهم به نظر برسد و شناسایی الگوهای دستورات دشوار شود.
