MQTT kennst du wahrscheinlich als das leichtgewichtige Protokoll, über das dein Home-Assistant-Server mit Zigbee2MQTT, ESPHome-Sensoren oder smarten Steckdosen spricht. Genau dieses Protokoll hat sich jetzt eine Malware-Familie namens BambooToken als Fernsteuerungskanal ausgesucht — und blieb damit über drei Jahre unter dem Radar von Sicherheitsforschern.
WER DEN FUND GEMACHT HAT
Black Lotus Labs, die Threat-Intelligence-Abteilung des Netzbetreibers Lumen, hat BambooToken öffentlich gemacht. Die Malware ist demnach mindestens seit Februar 2023 aktiv, zuletzt beobachtete Aktivität stammt aus dem Juli 2026. In dieser Zeit fanden die Forscher rund ein Dutzend kompromittierte Unternehmen — vor allem in Asien und Südamerika, darunter Hotels, biomedizinische Firmen, Anwaltskanzleien, ein Finanzdienstleister und eine Kryptowährungs-Webseite in Litauen.
WARUM AUSGERECHNET MQTT?
Klassische Malware verbindet sich meist direkt mit einem Command-and-Control-Server — ein Muster, auf das viele Firewalls und Intrusion-Detection-Systeme trainiert sind. BambooToken bricht mit diesem Schema: Das infizierte System abonniert lediglich ein Thema (Topic) mit einer eindeutigen Kennung bei einem MQTT-Broker, und die Angreifer veröffentlichen dort ihre Befehle. Die infizierten Systeme bauen also nie eine direkte Verbindung zur Angreifer-Infrastruktur auf — das erschwert die Zuordnung erheblich und macht die Kommunikation zusätzlich asynchron: Selbst wenn das Netz zeitweise gestört ist, laufen die Befehle einfach nach, sobald die Verbindung wiederkehrt.
Ist ein System infiziert, kann BambooToken umfangreiche Systeminformationen sammeln, eine Kommandozeile öffnen sowie Dateien hoch-, herunterladen und löschen — ein vollwertiges Fernzugriffs-Werkzeug, getarnt als harmloser IoT-Datenverkehr.
WIE DIE INFEKTION ABLIEF
Die Verbreitung lief über zwei Tricks: Zum einen DLL-Sideloading über eine digital signierte Software des Tendyron-OnKey-USB-Tokens — ein legitimes, signiertes Programm lädt dabei unbemerkt eine bösartige Bibliothek nach. Zum anderen tarnte sich die Malware als die Bürosoftware Kingsoft Office, um Nutzer zur Ausführung zu bewegen.
WAS DAS FÜR DEIN HEIMNETZ BEDEUTET
Die konkreten BambooToken-Opfer sind Unternehmen, kein privates Homelab wurde bislang gemeldet. Trotzdem ist die Story ein guter Anlass, den eigenen MQTT-Broker — meist Mosquitto, oft im selben Docker-Compose-Stack wie Home Assistant — genauer anzuschauen:
- Broker nicht offen ins Internet stellen. Ein MQTT-Port ohne Authentifizierung, der von außen erreichbar ist, ist eine offene Einladung — unabhängig von BambooToken.
- Nutzernamen, Passwörter und ACLs setzen. Mosquitto erlaubt anonyme Verbindungen standardmäßig zu leicht — pro Client eigene Zugangsdaten und auf die nötigen Topics beschränkte Rechte vergeben.
- Unbekannte Topics beobachten. Wer gelegentlich mit einem MQTT-Explorer durch seine Topics schaut, bemerkt fremde Abonnements schneller als über reine Log-Analyse.
- TLS für MQTT aktivieren, wenn der Broker über das lokale Netz hinaus erreichbar sein muss, etwa für externe Sensoren.
FAZIT: Ein cleverer Kniff, den du kennen solltest
BambooToken zeigt, wie Angreifer gezielt Protokolle wählen, die in Firewalls und Monitoring-Regeln oft als „unverdächtig“ durchgewunken werden — MQTT ist dafür fast ideal, weil es für Sensordaten und nicht für Steuerbefehle gebaut wurde. Für dich als Homelab-Betreiber ist das kein Grund zur Panik, aber ein guter Anlass, den eigenen Broker so ernst zu nehmen wie jeden anderen Dienst mit Fernzugriff.