Den Einstieg in die Untersuchung markierte laut ESET der 2. Januar 2025, als die Forscher zwei Schadprogramme entdeckten: die Backdoor „LaxGopher" und den zugehörigen Injektor „JabGopher". Was zunächst nach einem überschaubaren Befund aussah, weitete sich rasch aus. Über C2-Daten, die aus LaxGopher gewonnen wurden, stießen die Forscher wenige Tage später auf eine zweite Backdoor namens „CompactGopher". Es folgten am 22. Januar „RatGopher", am 5. März die Backdoor „BoxOfFriends" samt Ladekomponente „FriendDelivery" sowie am 24. März „SSLORDoor".

Die einzelnen Backdoors unterscheiden sich technisch nur in Details; der zentrale Unterschied liegt im jeweils gewählten C2-Kanal. LaxGopher nutzt Slack, RatGopher den Dienst Discord. BoxOfFriends wickelt seine Kommunikation über E-Mail-Entwürfe in Microsoft Outlook ab. SSLORDoor verzichtet auf eine SaaS-Plattform, und CompactGopher ist streng genommen kein C2-Werkzeug, sondern dient allein dem Abfluss von Dateien über den öffentlichen Filesharing-Dienst file.io.

Warum die Gruppe gleich fünf Varianten desselben Grundprinzips entwickelte, ist offen. Möglicherweise sollte dies ein leichteres Ausweichen ermöglichen, falls einer der C2-Wege entdeckt oder blockiert würde. ESET-Senior-Malware-Forscher Mathieu Tartare bescheinigt der Gruppe vor allem Produktivität: Sie setze in kurzer Zeit viele verschiedene, selbst entwickelte Backdoors ein. Zugleich schränkt er ein, es handle sich nicht um eine besonders ausgefeilte Gruppe; gemessen an anderen Backdoors, die heute gängige Cloud-Dienste missbrauchen, steche das Werkzeugset nicht heraus.

Auf der Botconf 2026 verwies ESET-Forscher Eric Howard auf einen aufschlussreichen Fund: Im „Downloads"-Verzeichnis der Angreifer fanden sich Dateinamen wie „How to write RATs" („Wie man RATs schreibt"). Daraus schließen die Forscher, dass die Betreiber womöglich noch neu in der Malware-Entwicklung sind.

Die Mongolei liegt geografisch zwischen zwei der fähigsten Cyber-Mächte der Welt. Nach Tartares Einschätzung gehen die Angriffe auf Organisationen im Land überwiegend von chinaorientierten Gruppen aus. Zu den prominenteren Fällen zählen eine RedDelta-Kampagne aus den Jahren 2023 bis 2024, eine nicht zugeordnete, COVID-bezogene Kampagne aus dem Jahr 2020 sowie eine ältere Kampagne von APT27 (auch Emissary Panda) gegen ein nationales Rechenzentrum — alle drei richteten sich gegen den Regierungssektor.

Wie die mongolische UB Post berichtet, stammt der überwiegende Teil der schädlichen Cyber-Aktivität im Land laut Regierungsdaten jedoch aus Russland, mit den USA als weit abgeschlagenem Zweiten. Google-Forscher beobachteten 2023 und 2024 zudem den russischen Akteur APT29 (auch Midnight Blizzard), der mongolische Regierungswebseiten für Watering-Hole-Angriffe ausnutzte und Geräte vorbeisurfender Nutzer mit Überwachungssoftware infizierte.

Das Institut für Strategische Studien (ISS) des mongolischen Nationalen Sicherheitsrats verzeichnete für 2024 insgesamt 1,6 Millionen Cyberangriffe und -vorfälle, darunter 13.061 Cyberstraftaten mit einem Schaden von 25,4 Millionen US-Dollar. Die Regierung versucht seit einigen Jahren gegenzusteuern, unter anderem mit einem Cybersicherheitsgesetz von 2021 und einer im Januar 2023 verabschiedeten Nationalen Cybersicherheitsstrategie.