BambooToken: Schadsoftware steuert Windows und Linux über MQTT — das Smart-Home-Protokoll als Tarnung

MQTT ist das Protokoll, über das im Smart Home Sensoren, Schalter und Home Assistant miteinander reden — leichtgewichtig, unauffällig, für Millionen von Geräten gemacht. Genau diese Eigenschaften nutzt eine Schadsoftware namens BambooToken, um infizierte Windows- und Linux-Systeme zu steuern: Statt über auffällige HTTP-Verbindungen kommuniziert sie mit ihren Betreibern über einen MQTT-Broker, so wie es ein Temperatursensor auch tun würde.

Entdeckt hat die Malware das Forschungsteam Black Lotus Labs des Netzbetreibers Lumen; The Hacker News hat die Analyse veröffentlicht. Aktiv ist BambooToken demnach seit Februar 2023, betroffen sind Unternehmen in Asien, Südamerika und Litauen. Für Heimnetz-Betreiber ist die Meldung weniger wegen der Opfer interessant als wegen der Methode — und wegen der Frage, warum ausgehender MQTT-Verkehr von einem PC ein Warnsignal sein sollte.

Das Wichtigste in Kürze

• BambooToken ist eine modulare Schadsoftware für Windows und Linux, seit Februar 2023 im Einsatz, Linux-Variante seit Dezember 2025.
• Die Steuerung läuft über MQTT — das Protokoll, das sonst Smart-Home-Geräte verbinden.
• Einfallstor ist DLL-Sideloading über die legitime Software eines chinesischen USB-Sicherheitstokens (Tendyron OnKey), die vor allem in Banken und Behörden verbreitet ist.
• Opfer: App-Entwickler, ein GitLab-Server in Hongkong, ein IoT-Hersteller in Vietnam, Firmen aus Hotellerie, Biomedizin, Recht, Krypto und Finanzen.
• Keine gesicherte Zuordnung; die Forscher vermuten einen Bezug nach China.
• Bisher nur eine Quelle: die Analyse von Lumen Black Lotus Labs.

Was passiert ist

Die Forscher stießen Anfang 2026 über VirusTotal auf Dateien, die sich als Bestandteile der Software eines PKI-USB-Tokens des chinesischen Herstellers Tendyron ausgaben. Solche Tokens werden im chinesischen Finanz- und Behördenumfeld für Signaturen und Logins eingesetzt. Die Angreifer hatten nicht den Hersteller kompromittiert, sondern nutzten eine Schwäche seiner legitimen Programmdatei aus: Sie lädt eine DLL aus ihrem Verzeichnis nach, ohne deren Herkunft zu prüfen.

Das ist DLL-Sideloading, eine der beliebtesten Techniken der letzten Jahre: Man legt neben eine signierte, vertrauenswürdige EXE eine gleichnamige, aber bösartige DLL. Startet jemand die EXE, lädt sie die DLL — und Sicherheitssoftware sieht zunächst nur ein signiertes Programm eines bekannten Herstellers.

Einmal aktiv, sammelt BambooToken Systeminformationen, prüft per WMI, welche Virenscanner installiert sind, und lädt bei Bedarf Erweiterungen nach. Die Plugin-Architektur macht die Malware anpassbar, ohne dass die Grundkomponente sich ändern muss.

Warum MQTT — und warum das clever ist

Frühe Versionen holten sich die Adresse ihres Steuerservers aus einer .DAT-Datei oder hatten sie fest eingebaut. Spätere Varianten stellten auf MQTT um: Die Malware verbindet sich mit einem Broker, abonniert ein Thema und wartet auf Befehle, die dort veröffentlicht werden. Die Infrastruktur ist hinter Cloudflare versteckt; eine der Domains schaffte es laut Lumen in Cloudflares Top 500.000 — ein Hinweis auf erheblichen Verkehr.

Der Vorteil aus Sicht der Angreifer liegt auf der Hand. MQTT-Verkehr ist klein, verschlüsselt und in Firmennetzen mit IoT-Geräten längst Alltag. Ein Detektionssystem, das auf ungewöhnliche HTTP-Verbindungen oder DNS-Muster achtet, sieht hier nichts Ungewöhnliches. Der Broker ist außerdem ein Vermittler: Die Malware kennt die eigentlichen Angreifer nicht, sie kennt nur den Broker, und der lässt sich jederzeit tauschen.

BambooToken ist nicht die erste Schadsoftware mit diesem Ansatz. MQsTTang (2023, der Gruppe Mustang Panda zugeschrieben), Tizi auf Android, WailingCrab und IOCONTROL nutzten MQTT bereits. Was als Kuriosität begann, wird zum Muster — und das ist der eigentliche Punkt dieser Meldung.

Wer betroffen ist

Die von Lumen identifizierten Opfer passen zu einer Kampagne, die Zugänge sammelt statt gezielt zu erpressen: Entwickler von Mobil-Apps, ein GitLab-Server in Hongkong, ein Hersteller von IoT-Geräten in Vietnam, dazu Unternehmen aus Hotellerie, Biomedizin, Rechtsberatung, Kryptowährungen und Finanzwesen in Asien und Südamerika — und ein Ziel in Litauen. Wer die Angreifer sind, ist offen; DLL-Sideloading-Techniken und die Wege, über die der Verkehr geleitet wird, deuten für die Forscher auf einen Bezug nach China, ohne dass es eine gesicherte Zuordnung gäbe.

Für Privatnutzer in Deutschland ist das Risiko gering: Der Einfallstor ist Software, die hierzulande praktisch niemand installiert hat. Die Meldung ist keine Aufforderung, den eigenen PC zu durchsuchen.

Was das für das Heimnetz bedeutet

Trotzdem lohnt ein Blick, denn MQTT ist in vielen Heimnetzen aktiv — über Zigbee2MQTT, über Sensoren mit Tasmota-Firmware, über den Broker in Home Assistant. Drei Dinge, die aus dieser Malware folgen:

• Der eigene Broker gehört nach innen. Ein Mosquitto, der aus dem Internet erreichbar ist, ist ein Broker, den auch fremde Clients nutzen können. Im Heimnetz gibt es keinen Grund, Port 1883 oder 8883 nach außen zu öffnen.
• Ausgehender MQTT-Verkehr von einem PC ist ungewöhnlich. Sensoren sprechen MQTT, Arbeitsrechner normalerweise nicht. Wer eine Firewall mit Ausgangsregeln betreibt — auf einer UniFi-Konsole, OPNsense oder pfSense —, kann Verbindungen von Client-VLANs zu fremden Brokern schlicht unterbinden.
• Signiert heißt nicht harmlos. DLL-Sideloading funktioniert gerade, weil die gestartete Datei legitim ist. Das ist ein Argument gegen das Vertrauen in Signaturen allein — und für Software, die aus vertrauenswürdigen Quellen kommt und aktuell gehalten wird.

Einordnung

BambooToken ist keine spektakuläre Schadsoftware. Ihre Fähigkeiten sind Standard, ihr Einfallstor ist regional begrenzt, und eine gesicherte Zuordnung gibt es nicht. Bemerkenswert ist sie als Beleg für einen Trend: Angreifer wählen ihre Kommunikationswege zunehmend danach, wo sie im normalen Verkehr untergehen — und MQTT ist in Zeiten von IoT und Smart Home ein solcher Weg. Wer Netzwerke absichert, sollte MQTT deshalb nicht mehr als reines Sensorenprotokoll betrachten, sondern als Kanal, der Aufmerksamkeit verdient wie jeder andere.

Eine Einschränkung zum Schluss: Alle Angaben stammen aus einer einzigen Analyse. Sie ist von einem etablierten Team, aber bislang nicht unabhängig bestätigt. Sollten weitere Sicherheitsfirmen die Kampagne aufgreifen, ergänzen wir diesen Artikel.

Häufige Fragen

Was ist MQTT?

Ein leichtgewichtiges Nachrichtenprotokoll nach dem Publish-Subscribe-Prinzip: Geräte veröffentlichen Nachrichten zu Themen bei einem Broker, andere abonnieren diese Themen. Es ist der Standard für Smart-Home-Sensoren und IoT-Geräte.

Bin ich als Home-Assistant-Nutzer betroffen?

Nein. BambooToken nutzt MQTT nur als Transportweg zu den eigenen Servern der Angreifer; der Broker im Heimnetz spielt dabei keine Rolle. Das Einfallstor ist eine chinesische Banking-Software, die hierzulande kaum vorkommt.

Was ist DLL-Sideloading?

Eine Technik, bei der neben ein legitimes, signiertes Programm eine bösartige Bibliothek gleichen Namens gelegt wird. Beim Start lädt das Programm die Bibliothek und führt so den Schadcode aus — während Sicherheitssoftware nur ein vertrauenswürdiges Programm sieht.

Wie erkenne ich MQTT-Verkehr im Netz?

Standardports sind 1883 (unverschlüsselt) und 8883 (TLS). Firewalls mit Ausgangsregeln oder ein Blick in die Verbindungsübersicht des Routers zeigen, welche Geräte Verbindungen zu externen Brokern aufbauen. Von Sensoren erwartet man das, von Arbeitsrechnern nicht.

Quelle: Analyse von Lumen Black Lotus Labs, veröffentlicht über The Hacker News, abgerufen am 15.09.2026. Eine unabhängige Bestätigung durch weitere Sicherheitsfirmen lag zum Zeitpunkt der Veröffentlichung nicht vor.