Die Cybersecurity-Firma ESET hat eine bemerkenswerte Hackeroperation aufgedeckt, die neue Erkenntnisse über die Taktiken staatlicher Cyberangreifer liefert. Die Gruppe GopherWhisper nutzte eine bewusst getarnte Infrastruktur, um ihre Spionageaktivitäten zu verschleiern – ein Ansatz, der für professionelle Angreifer charakteristisch ist.
Das Herzstück der Operation war die Malware LaxGopher, ein maßgeschneiderter Backdoor, der auf etwa ein Dutzend Systemen der mongolischen Regierungsinstitution installiert wurde. ESET vermutet jedoch, dass die tatsächliche Anzahl der Opfer deutlich höher liegt und zahlreiche weitere Ziele in verschiedenen Sektoren betroffen sein könnten.
Besonders bemerkenswert ist die Art und Weise, wie die Angreifer ihre Kommunikation verschleiert haben. Statt eigener, verdächtiger Infrastruktur setzten sie auf vertrauenswürdige Plattformen: Discord, Slack und Microsoft 365 Outlook dienten als Kanäle für die Kommunikation mit kompromittierten Systemen und zur Verwaltung der Command-and-Control-Infrastruktur. Dies macht die Erkennung erheblich schwieriger, da der Datenverkehr zu legitimen Diensten normalerweise als harmlos eingestuft wird.
Die Werkzeugsammlung der Gruppe bestand aus mehreren custom-built Tools, überwiegend in der Programmiersprache Go geschrieben. Dazu gehörten RatGopher, BoxOfFriends, der Injector JabGopher, der Loader FriendDelivery und der Backdoor SSLORDoor. Zur Datenabfuhr entwickelten die Angreifer das spezielle Tool CompactGopher, das Dateien komprimierte und über den File-Sharing-Dienst File.io hochlud.
Obwohl ESET die Operation als Cyberespionage klassifiziert, wurde eine konkrete Zuordnung zu einem spezifischen Akteur nicht vorgenommen. Die Bezeichnung als “China-linked” basiert auf Verhaltensmustern und technischen Indikatoren, die auf staatliche Strukturen hindeuten.
Für deutsche Unternehmen und Behörden ist dieser Fall ein Warnsignal. Die Taktik, legitime Cloud-Services zur Verschleierung zu missbrauchen, ist exportierbar und könnte auch gegen deutsche Institutionen eingesetzt werden. Organisationen sollten ihre Netzwerk-Monitoring-Strategien überprüfen und besonderes Augenmerk auf ungewöhnliche Aktivitäten in populären Kommunikationsplatformen legen.