Die Wurzeln von Harvester reichen nach Darstellung von Symantec bis Ende 2021 zurück. Damals verband das Unternehmen die Gruppe mit einer seit Juni 2021 laufenden Kampagne gegen Telekommunikations-, Regierungs- und IT-Einrichtungen in Südasien. Zum Einsatz kam dabei ein maßgeschneidertes Implantat namens Graphon, das bereits die Microsoft Graph API zur Steuerung nutzte.

Im August 2024 wurde die Gruppe mit einem Angriff auf eine nicht näher benannte Medienorganisation in Südasien in Verbindung gebracht. Dabei kam erstmals eine in Go geschriebene Backdoor namens GoGra zum Einsatz. Die jüngsten Erkenntnisse deuten darauf hin, dass die Angreifer dieselbe Backdoor nun in einer neuen Variante auf Linux-Systeme übertragen haben.

Der Angriffsweg setzt auf Social Engineering: Die Opfer werden dazu gebracht, ELF-Binärdateien zu öffnen, die als PDF-Dokumente getarnt sind. Der Dropper zeigt anschließend ein Köderdokument an und führt im Hintergrund unbemerkt die Backdoor aus.

Wie ihr Windows-Pendant nutzt die Linux-Version von GoGra Microsofts Cloud-Infrastruktur. Sie kontaktiert alle zwei Sekunden über OData-Abfragen (Open Data Protocol) einen bestimmten Outlook-Postfachordner mit dem Namen „Zomato Pizza" und durchsucht den Posteingang nach E-Mails, deren Betreffzeile mit dem Wort „Input" beginnt.

Trifft eine passende Nachricht ein, entschlüsselt die Backdoor den Base64-kodierten Nachrichtentext und führt ihn über „/bin/bash" als Shell-Befehle aus. Die Ergebnisse sendet sie in einer E-Mail mit der Betreffzeile „Output" an den Betreiber zurück. Nach der Datenübertragung löscht das Implantat die ursprüngliche Auftragsnachricht, um Spuren zu verwischen.

Trotz unterschiedlicher Architekturen und Betriebssysteme bleibe die zugrunde liegende C2-Logik unverändert, erklären Symantec und Carbon Black. Die Teams fanden zudem auf beiden Plattformen mehrere übereinstimmende, fest einprogrammierte Rechtschreibfehler – ein Hinweis darauf, dass derselbe Entwickler hinter beiden Werkzeugen steckt. Der Einsatz einer neuen Linux-Backdoor zeige, dass Harvester sein Arsenal weiter ausbaue und aktiv neue Werkzeuge entwickle, um ein breiteres Spektrum an Opfern und Maschinen anzugreifen.