I ricercatori di ESET hanno scoperto un gruppo APT allineato alla Cina, finora sconosciuto, che è stato denominato GopherWhisper. Il gruppo utilizza un’ampia gamma di strumenti, per lo più scritti in Go, che impiegano injector e loader per distribuire ed eseguire varie backdoor presenti nel proprio arsenale. Nella campagna osservata, gli autori della minaccia hanno preso di mira un’istituzione governativa in Cina. GopherWhisper sfrutta servizi legittimi, in particolare Discord, Slack, Microsoft 365 Outlook e file.io, per le comunicazioni di command and control (C&C) e l’esfiltrazione dei dati.
ESET ha individuato il gruppo nel gennaio 2025, quando ha trovato una backdoor precedentemente non documentata, che i ricercatori ESET hanno denominato LaxGopher, nel sistema di un ente governativo in Cina. Approfondendo le indagini, sono riusciti a scoprire diversi altri strumenti dannosi, principalmente varie backdoor aggiuntive, tutte distribuite dallo stesso gruppo. La maggior parte di questi strumenti era scritta in Go e avevano come obiettivo comune lo spionaggio informatico.
Secondo i rilievi telemetrici di ESET, la struttura colpita dalle backdoor GopherWhisper è un ente governativo cinese. Analizzando il traffico C&C proveniente dai server Discord e Slack gestiti dagli autori dell’attacco, ESET stima che, oltre all’ente cinese, siano state colpite anche decine di altre vittime, sebbene non siano disponibili informazioni sulla loro posizione geografica o sui settori di appartenenza.
Dei sette tool scoperti, quattro sono backdoor: LaxGopher, RatGopher e BoxOfFriends, scritti in Go, e SSLORDoor, scritto in C++. Inoltre, ESET ha individuato un injector (JabGopher), uno strumento di esfiltrazione basato su Go (CompactGopher) e un file DLL dannoso (FriendDelivery).
Poiché il set di malware individuato da ESET non presentava somiglianze di codice con i tool di altri soggetti noti e non vi era alcuna sovrapposizione nelle tattiche, tecniche e procedure (TTP) già utilizzate, ESET ha attribuito questi tool a un nuovo gruppo. I ricercatori hanno scelto di chiamare il gruppo GopherWhisper poiché la maggior parte degli strumenti utilizzati era scritta in linguaggio Go, che ha come mascotte uno scoiattolo chiamato gopher, e in base al nome del file whisper.dll, che veniva caricato separatamente.
GopherWhisper si distingue per l’ampio ricorso a servizi legittimi quali Slack, Discord e Outlook per le comunicazioni C&C. «Nel corso dell’indagine, abbiamo estratto migliaia di messaggi su Slack e Discord, oltre a bozze di e-mail da Microsoft Outlook. I dati ci hanno fornito una visione approfondita del funzionamento interno del gruppo», afferma Eric Howard, researcher di ESET che ha rilevato il gruppo di hacker.
«L’analisi dei timestamp dei messaggi su Slack e Discord ci ha mostrato che la maggior parte degli stessi veniva inviata durante l’orario di lavoro, ovvero tra le 8:00 e le 17:00, il che corrisponde all’ora standard cinese. Inoltre, anche l’impostazione locale per l’utente configurato nei metadati di Slack era impostata su questo fuso orario. Riteniamo quindi che GopherWhisper sia un gruppo legato alla Cina», spiega Howard.
Sulla base dell’indagine condotta da ESET, i server Slack e Discord del gruppo sono stati inizialmente utilizzati per testare la funzionalità delle backdoor e, successivamente, senza cancellare i log, sono stati impiegati anche come server C&C per le backdoor LaxGopher e RatGopher su diversi computer compromessi. Oltre alle comunicazioni su Slack e Discord, i ricercatori di ESET sono stati in grado di estrarre anche i messaggi e-mail utilizzati per la comunicazione tra la backdoor BoxOfFriends e il suo C&C utilizzando l’API Microsoft Graph.
