Die Cybersecurity-Firma ESET hat eine umfassende Analyse der Anschlagsmethoden von GopherWhisper veröffentlicht und zeichnet das Bild einer hochprofessionellen, gut organisierten Angriffsgruppe. Das Besondere: Die Gruppe verzichtet auf traditionelle C&C-Infrastruktur und nutzt stattdessen populäre Kommunikationsplattformen als Missbrauchskanal.
Das technische Arsenal von GopherWhisper ist beeindruckend vielfältig. Neben der Hauptbackdoor LaxGopher nutzt die Gruppe mehrere weitere Go-basierte Malware-Familien, die Anweisungen vom C&C-Server empfangen, ausführen und Ergebnisse zurückübermitteln können. Ergänzt wird das Arsenal durch ein spezialisiertes File-Collection-Tool, das Dateien sammelt und komprimiert über file.io exfiltriert, sowie durch eine C++-basierte Backdoor, die ferngesteuerte Kontrolle über kompromittierte Hosts ermöglicht.
Die genaue Methode, wie GopherWhisper initial Zugang zu den Zielnetzen erhält, bleibt bislang ungeklärt. Allerdings zeigen die Analysen ein klares Muster: Nach erfolgreichem Eindringen folgt unmittelbar der massive Einsatz verschiedenster Tools und Implants.
Faszinierend ist die zeitliche Komponente der Anschläge. ESET-Forscher Eric Howard stellte fest, dass die Slack- und Discord-Nachrichten vornehmlich während regulärer Arbeitszeiten zwischen 8 und 17 Uhr versendet wurden – exakt nach China Standard Time. Auch die Zeitzoneneinstellungen in den Slack-Metadaten zeigen diese Konfiguration. Dies deutet stark darauf hin, dass die Gruppe in China ansässig oder zumindest von dort operiert.
Die Wahl der Missbrauchsplattformen ist strategisch clever: Discord und Slack sind in Unternehmensumgebungen ubiquitär, ihre Nutzung wirkt legitim. Datentransfers über Microsoft 365 Outlook und file.io fallen in typischen Netzwerk-Logs nicht weiter auf. Dies erschwert die Detektion erheblich.
Für deutsche Sicherheitsverantwortliche ist dieser Fall eine klare Warnung: Traditionelle Firewall-basierte Sicherheit reicht nicht aus. Der Missbrauch legitimer Services erfordert ein Umdenken in der Threat-Detection. Monitoring von ungewöhnlichen Aktivitäten in Cloud-Services sowie Behavioral-Analysis von Benutzerkonten müssen Priorität erlangen.