ร้ายกาจ! พบมัลแวร์ BambooToken ใช้งานระบบ MQTT เพื่อเข้าควบคุม Windows และ Linux

มัลแวร์ประเภทเข้าควบคุมเครื่องของเหยื่อจากระยะไกล หรือ RAT (Remote Access Trojan) นั้นเป็นหนึ่งในมัลแวร์ที่มีพัฒนาการสูงสุดตัวหนึ่ง เนื่องจากระบบปฏิบัติการต่าง ๆ จะมีการเพิ่มความแน่นหนาในการรักษาช่องทางต่าง ๆ ไม่ให้มัลแวร์ทำงานได้โดยง่าย ตัวมัลแวร์ก็ได้มีการพัฒนาให้เลือกช่องทางติดต่อกับเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) และแฮกเกอร์เบื้องหลังได้อย่างสะดวกเงียบเชียบเช่นกัน

จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการที่ทีมวิจัยจากทีม Black Lotus Labs ซึ่งเป็นทีมวิจัยด้านความปลอดภัยไซเบอร์ภายใต้บริษัท Lumen Technologies บริษัทด้านปัญญาประดิษฐ์ (AI หรือ Artificial Intelligence) ทำการตรวจพบมัลแวร์ประเภท RAT ตัวใหม่ที่มีชื่อว่า BambooToken โดยมีข้อมูลที่น่าตกใจว่า มัลแวร์ตัวนี้แม้จะพึ่งถูกตรวจพบในช่วงเดือนกรกฎาคมที่ผ่านมาหลังมีการถูกนำไปใช้เพื่อโจมตีองค์กรต่าง ๆ ในแถบทวีปเอเชียและอเมริกาใต้ แต่แท้จริงแล้วได้มีการแพร่กระจายมาตั้งแต่ช่วงปี ค.ศ. 2023 (พ.ศ. 2566) ซึ่งการตรวจพบนั้นแรกเริ่มเดิมทีนั้นมาจากการตรวจพบมัลแวร์ที่ไม่เคยได้ถูกบันทึกไว้ (Undocumented) จากแพลตฟอร์มตรวจสอบมัลแวร์ยอดนิยมอย่าง VirusTotal ทางทีมวิจัยระบุว่า การที่ตัวมัลแวร์สามารถหลบซ่อนหนีการตรวจจับมาได้อย่างยาวนานนั้นแสดงให้เห็นว่าแฮกเกอร์ที่อยู่เบื้องหลังมีฝีมือในระดับสูง และในตอนนี้ทางทีมวิจัยก็ยังตรวจไม่พบว่าตัวพาหะ (Vector) ที่ใช้นำมัลแวร์ตัวดังกล่าวเข้าสู่เครื่องของเหยื่อนั้นคืออะไรกันแน่

กระนั้นทางทีมวิจัยก็ได้ยืนยันว่า ได้มีการใช้ซอฟต์แวร์ OnKey ของ Tendyron ในการโหลดมัลแวร์ลงไปยังเครื่องของเหยื่อด้วยวิธี Sideloading ซึ่ง Onkey นั้นเป็นอุปกรณ์ยืนยันตัวตน และ USB Security Token สำหรับใช้ในการยืนยันตัวตนในการทำธุรกรรมกับธนาคาร รวมทั้งได้มีการใช้งานอย่างแพร่หลายในหน่วยงานต่าง ๆ ภายใต้รัฐบาลจีน ทางทีมวิจัยไม่พบว่าใบรับรอง (Certificate) หรือสภาวะแวดล้อม (Environment) สำหรับการพัฒนาซอฟต์แวร์ของทาง Tendyron โดนเจาะแต่อย่างใด ดังนั้นจึงสันนิษฐานได้ว่าแฮกเกอร์อาจใช้ช่องโหว่ที่อยู่บนไฟล์สำหรับการรัน หรือ Binary เพื่อใช้งาน DLL ของมัลแวร์ด้วยวิธีการ DLL Sideloading กระนั้นทางทีมวิจัยก็ยังไม่สามารถยืนยันวิธีการดังกล่าวได้อย่างชัดเจน ณ ตอนนี้

ภาพจาก : https://thehackernews.com/2026/09/bambootoken-malware-uses-mqtt-to.html

สิ่งที่น่าสนใจของมัลแวร์ตัวนี้คือ มีการใช้งานโปรโตคอล Message Queueing Telemetry Transport (MQTT) ซึ่งเป็นโปรโตคอลเครือข่ายน้ำหนักเบาในรูปแบบ Publish-Subscribe ในการสื่อสารระหว่างเซิร์ฟเวอร์ C2 กับตัวมัลแวร์ ด้วยการใช้ซอฟต์แวร์ Tendyron OnKeySrv ทำ DLL Sideloading ไฟล์ "OnKeyToken_KEB.dll" เวอร์ชันที่ถูกดัดแปลง เพื่อทำการเก็บข้อมูลเครื่องของเหยื่อ และเข้าสู่ลูปคำสั่ง (Command Loop) ผ่านทางโปรโตคอลดังกล่าว ทำให้แฮกเกอร์สามารถควบคุมมัลแวร์ และเครื่องที่ของเหยื่อได้จากศูนย์กลางแห่งเดียว ซึ่งการใช้โปรโตคอลดังกล่าวนั้นใช้ในการโจมตีเครื่องของเหยื่อที่ใช้ระบบปฏิบัติการ Windows เป็นหลัก และต่อมาก็ได้ขยายในสู่การโจมตีเครื่องระบบ Linux โดยผ่านโปรโตคอลตัวเดิม

ในด้านการทำงานนั้น มัลแวร์ BambooToken จะทำการเก็บข้อมูลเกี่ยวกับเครื่องของเหยื่อ แล้วทำการนำเข้าปลั๊กอินของโปรแกรมแอนตี้ไวรัส (Anti-Virus) สำหรับ Windows ที่ใช้โครงสร้าง Windows Management Instrumentation (WMI) เพื่อเก็บข้อมูลเกี่ยวกับซอฟต์แวร์แอนตี้ไวรัสทั้งหมดที่ถูกติดตั้งอยู่บนเครื่อง จากนั้นตัวมัลแวร์ก็จะทำการติดต่อกับเซิร์ฟเวอร์ C2 ที่ตั้งอยู่บนโดเมน "api80.c2iznja[.]com" ผ่านทางโปรโตคอลดังกล่าว โดยตัวโดเมนนี้นั้นมีการใช้ระบบ Cloudflare เป็นตัวกลาง (Proxy) ในการกลบเกลื่อนโครงสร้างพื้นฐาน (Infrastructure) ของมัลแวร์ โดยมีโดเมนหนึ่งที่อยู่ในเครือข่ายที่มีความเกี่ยวข้องกับแคมเปญในปี ค.ศ. 2025 (พ.ศ. 2568) ได้ไต่ลำดับขึ้นติดลำดับ 500,000 โดเมน ที่มีผู้เข้าเยี่ยมชมสูงสุดของ Cloudflare และโดเมนที่เก่ากว่านั้นก็ติดลำดับ 1 ล้านลำดับแรกเช่นเดียวกัน แสดงให้เห็นว่ามัลแวร์ดังกล่าวมีการกระจายตัวไปในวงกว้าง และมีผู้ติดมัลแวร์จำนวนมากเป็นที่เรียบร้อยแล้ว

โดยเมื่อสืบลึกเข้าไป ก็ได้พบว่ามีหมายเลขไอพีจำนวนหนึ่งที่อยู่ภายในประเทศกัมพูชา, เวียดนาม, และสิงคโปร์กำลังทำการติดต่กับโหนด (Node) C2 ตัวหนึ่งอยู่โดยหมายเลขไอพีเหล่านี้มีความเชื่อมโยงกับเราเตอร์ MikroTik และ DrayTek นอกจากนั้นยังพบกลุ่มบริษัทที่ติดมัลแวร์ดังกล่าวในแถบทวีปเอเชียและอเมริกาใต้มากถึง 12 แห่ง โดยเซิร์ฟเวอร์ขององค์กรที่ติดมัลแวร์ตัวนี้นั้นส่วนมากมีความเชื่อมโยงกับแอปพลิเคชันมือถือ, เซิร์ฟเวอร์ Gitlab ในฮ่องกง และบริษัทพัฒนาเครื่องมือจัดการไลฟ์สไตล์แบบพกพาในเวียดนาม นอกจากนั้นจะเป็นบริษัทรูปแบบอื่น ๆ เช่น โรงแรมในเวียดนาม, บริษัทด้านชีวการแพทย์ในอาร์เจนตินา, สำนักงานกฎหมายในชิลี, เว็บไซต์คริปโตเคอร์เรนซี (Cryptocurrency) ในลิธัวเนีย และบริษัทด้านการเงินในมาเลเซีย

ด้วยเหตุดังกล่าว ทำให้ทีมวิจัยเชื่อว่าแคมเปญในการแพร่มัลแวร์ดังกล่าวนั้นมีจุดประสงค์มุ่งเน้นในการเก็บข้อมูลหลากรูปแบบ ไม่ว่าจะเป็นไลฟ์สไตล์ของผู้ใช้งานอุปกรณ์พกพา และโทรศัพท์มือถือที่เชื่อมต่อกับเครือข่ายเซลลูลาร์ (Cellular) ไปจนถึงข้อมูลธุรกรรมในบริษัทการเงิน และประวัติการท่องเที่ยวของลูกค้าในระบบของโรงแรม เป็นต้น