Die in den Go-Backdoors fest codierten Anmeldedaten erwiesen sich als entscheidender Hebel: Mit ihnen verschafften sich die ESET-Forscher Zugang zu den Slack-, Discord- und Microsoft-Outlook-Konten der Angreifer. Auf diese Weise rekonstruierten sie die C2-Kommunikation, darunter abgesetzte Befehle, hochgeladene Dateien und experimentelle Aktivitäten.

Der Umfang dieser Auswertung ist beachtlich. „Wir haben insgesamt 6.044 Slack-Nachrichten bis zurück zum 21. August 2024 sowie 3.005 Discord-Nachrichten abgerufen und analysiert, von denen die früheste auf den 16. November 2023 datiert“, heißt es im technischen Bericht von ESET. Zusammen mit Metadaten vom C2-Server lieferten diese Daten zugleich die Grundlage für die Zuordnung der Gruppe zu China.

Für die Attribution stützt sich ESET vor allem auf die Zeitstempel der Nachrichten. Demnach wurden die Slack-Befehle zwischen 0 und 12 Uhr UTC abgesetzt, die Discord-Befehle zwischen 0 und 14 Uhr UTC. Stellte man die Zeitzone auf UTC+8 um – passend zur „Locale zh-CN“, die in den Metadaten des Slack-Servers auftauchte –, zeigte sich kaum Aktivität außerhalb des Arbeitsfensters zwischen 8 und 17 Uhr. Das erhöhte laut den Forschern die Verlässlichkeit der Zuordnung.

Das eingesetzte Werkzeugset reicht über LaxGopher hinaus: ESET zufolge brachte die Gruppe weitere Schadwerkzeuge zum Einsatz, die überwiegend ebenfalls in Go geschrieben sind. Mehrere dieser Backdoors nutzten neben Slack und Discord auch die Microsoft-Graph-API zur Steuerung.

Beim Ausmaß der Kampagne klafft eine Lücke zwischen der direkten Telemetrie und den Spuren in den C2-Kanälen. Die Telemetriedaten von ESET belegen die Kompromittierung von zwölf Systemen in einer mongolischen Regierungseinrichtung. Die Auswertung des Discord- und Slack-Verkehrs deutet jedoch auf „Dutzende weiterer Opfer“ hin, deren geografische Verteilung und Branchenzugehörigkeit den Forschern allerdings verborgen bleibt.

Zur Abwehr stellt ESET eine Reihe von Kompromittierungsindikatoren (IoCs) bereit, mit denen Verteidiger Angriffe des neuen Bedrohungsclusters erkennen und blockieren können.