Ancaman Senyap BambooToken pada Windows dan Linux

Ancaman Senyap BambooToken pada Windows dan Linux – Sebuah kerangka kerja malware (malware framework) baru yang sebelumnya tidak dikenal bernama BambooToken terdeteksi aktif sejak tahun 2023.

Berdasarkan laporan investigasi, malware ini mulai mengadopsi protokol komunikasi ringan MQTT (Message Queuing Telemetry Transport) pada varian yang dikembangkan antara tahun 2024 dan 2025 untuk mengontrol sistem berbasis Windows dan Linux yang telah dikompromikan.

Target serangan dari ancaman ini mencakup:

Server backend aplikasi seluler.
Layanan hukum dan keuangan.
Perhotelan, perusahaan biomedis.
Situs kripto.
Hingga peladen GitLab di Hong Kong

Yang berpotensi menjadi batu loncatan untuk serangan rantai pasok (supply-chain attacks).

Sebagian besar entitas korporat yang terdampak teridentifikasi berada di kawasan Asia dan Amerika Selatan, dengan pola penargetan yang konsisten dengan operasi siber yang terafiliasi dengan China.

Penggunaan Protokol MQTT

Protokol MQTT pada umumnya dirancang sebagai media komunikasi ringan untuk perangkat Internet of Things (IoT). Protokol ini mengandalkan broker pusat dan saluran bernama “topics” untuk menyampaikan pesan dari penerbit ke pelanggan, alih-alih menggunakan jalur komunikasi langsung.

Dalam ekosistem serangan BambooToken, pendekatan ini memberikan keuntungan taktis yang signifikan bagi penyerang:

Komunikasi Asinkron dan Resiliensi: Sistem yang terinfeksi tidak terhubung langsung ke infrastruktur pengendali penjahat, sehingga meningkatkan kemampuan pengelakan (evasion) dan memastikan kelangsungan operasional meskipun terjadi gangguan jaringan sementara.
Mekanisme Berlangganan: Mesin korban berlangganan (subscribe) ke topik yang diasosiasikan dengan pengenal unik, sementara operator mempublikasikan perintah eksekusi ke topik tersebut. Malware kemudian mengirimkan status dan informasi sistem melalui broker dan menerima instruksi secara asinkron.

Meskipun penggunaan MQTT untuk malware bukanlah konsep yang sepenuhnya baru, sebelumnya para peneliti dari perusahaan keamanan siber ESET pernah mendokumentasikan backdoor bernama MQsTTang pada tahun 2023, pendekatan ini tetap tergolong tidak konvensional dalam lanskap ancaman perangkat perusak korporat.

Vektor Infeksi dan Fitur Fungsionalitas

Berdasarkan analisis teknis, BambooToken menyebarkan infeksinya melalui beberapa metode utama:

Side-Loading Perangkat Lunak Token USB: Menggunakan teknik side-loading melalui peranti lunak token USB Tendyron OnKey yang ditandatangani secara digital.
Penyamaran Aplikasi: Menyamar sebagai perangkat penunjang produktivitas kantor, Kingsoft Office.

Peneliti juga menemukan varian Linux dari malware ini (BambooToken versi 2.1 yang terpantau pada Desember 2025) yang mampu mengumpulkan informasi sistem secara ekstensif, membuka cangkang perintah (command shell), serta melakukan pengunggahan, pengunduhan, dan penghapusan berkas.

Selain itu, ditemukan pula modul plugin untuk enumerasi produk antivirus serta kode mati (dead code) yang memuat string terkait perekaman salinan layar, keylogging, pencurian klip, rekaman audio, hingga tangkapan kamera web, meskipun para peneliti belum dapat memastikan apakah modul-modul tersebut telah diaktifkan dalam serangan nyata atau masih dalam tahap pengembangan.

Langkah Mitigasi

Mengingat infrastruktur komunikasi BambooToken memanfaatkan protokol non-standar seperti MQTT yang tidak terhubung langsung ke IP penyerang, deteksi berbasis jaringan tradisional memerlukan penyesuaian khusus:

A. Mitigasi dan Pengerasan Tingkat Sistem

1. Deteksi dan Blokir DLL Side-Loading

Karena BambooToken menggunakan teknik side-loading melalui perangkat lunak token USB yang sah (seperti Tendyron OnKey) atau penyamaran aplikasi perkantoran, aktifkan pemantauan integritas berkas (File Integrity Monitoring/FIM) pada direktori sistem utama.
Pastikan direktori aplikasi pihak ketiga tidak mengizinkan pemuatan pustaka dinamis (DLL atau shared objects) dari folder lokal atau direktori tulis pengguna (user-writable directories).

2. Inspeksi Ketat Proses Latar Belakang (Windows & Linux)

Lakukan audit rutin terhadap layanan sistem yang berjalan di luar kebiasaan, khususnya pada server backend aplikasi seluler, server keuangan, dan peladen pengembangan (development servers) seperti GitLab.
Periksa kemunculan proses tidak dikenal yang mencoba membuka cangkang perintah (command shell) secara diam-diam.

3. Penerapan Kebijakan Eksekusi Aplikasi (Application Whitelisting)

Terapkan kebijakan penolakan eksekusi mutlak bagi perangkat lunak yang tidak terdaftar dalam daftar putih perusahaan. Hal ini untuk mencegah file biner tiruan (seperti penyamaran Kingsoft Office atau utilitas tidak dikenal) berjalan di lingkungan produksi.

4. Isolasi Modul Rekaman dan Periferal

Batasi akses aplikasi tingkat sistem terhadap perangkat keras sensitif seperti kamera web, mikrofon, dan layanan clipboard untuk memitigasi potensi pencurian data jika modul dead code atau plugin pengintai diaktifkan oleh penyerang.

B. Mitigasi dan Pemantauan Tingkat Jaringan

1. Pemantauan Lalu Lintas Protokol MQTT

Karena MQTT lazimnya digunakan untuk perangkat Internet of Things (IoT) dan jarang sekali digunakan secara masif oleh server Windows/Linux korporat, terapkan aturan Deep Packet Inspection (DPI) pada firewall untuk mendeteksi lalu lintas MQTT internal yang keluar menuju broker eksternal tidak dikenal.
Blokir port komunikasi MQTT standar (seperti port 1883 tanpa enkripsi atau 8883 dengan TLS) apabila tidak ada kebutuhan operasional sah di server perusahaan.

2. Analisis Perilaku Komunikasi Asinkron

Waspadai pola koneksi jaringan yang persisten namun bersifat asinkron ke alamat peladen pihak ketiga yang sering berganti-ganti, yang menjadi ciri khas komunikasi berbasis topik (topics) pada broker MQTT eksternal.

3. Pengendalian Akses Jaringan Ketat (Micro-Segmentation)

Terapkan segmentasi jaringan yang ketat antara lingkungan server backend aplikasi dengan jaringan operasional umum. Pastikan server penting tidak memiliki akses internet keluar secara bebas tanpa melalui proksi yang diawasi.

C. Respons Insiden dan Intelijen Ancaman

1. Pemanfaatan Indikator Kompromi (IoCs):

Secara berkala, sinkronkan data Indikator Kompromi (IoCs) terbaru yang dirilis oleh lembaga riset keamanan (seperti Lumen Black Lotus Labs atau ESET) ke dalam sistem SIEM (Security Information and Event Management) perusahaan.

2. Audit Kompromi Rantai Pasok (Supply Chain Audit):

Lakukan peninjauan keamanan menyeluruh terhadap komponen perangkat lunak pihak ketiga, utilitas token perangkat keras, serta repositori kode internal (seperti GitLab) untuk mendeteksi potensi modifikasi atau akses tidak sah yang dapat dijadikan pijakan awal penyusupan.

Baca artikel lainnya: