Im Mittelpunkt der von ESET in einem Bericht am Donnerstag beschriebenen Kampagne steht die Tarnstrategie der Angreifer. Statt eigener, leicht auffälliger Infrastruktur stützte sich GopherWhisper stark auf legitime Online-Dienste, um die eigene Aktivität zu verschleiern. Über Discord, Slack und Microsoft 365 Outlook kommunizierten die Hacker mit kompromittierten Rechnern und verwalteten ihre Command-and-Control-Infrastruktur.
Aufgedeckt wurde die Gruppe im Januar 2025, als Ermittler im Netzwerk einer mongolischen Regierungsinstitution eine bis dahin unbekannte Backdoor fanden. Diese Schadsoftware mit dem Namen LaxGopher war laut ESET auf etwa einem Dutzend Systeme der Einrichtung im Einsatz. Die Forscher gehen davon aus, dass die Operation mit hoher Wahrscheinlichkeit Dutzende weiterer Betroffener traf, konnten deren Standorte und Branchen aber nicht ermitteln.
Das Arsenal der Gruppe bestand überwiegend aus eigens entwickelten Werkzeugen, die größtenteils in der Programmiersprache Go geschrieben sind. Dazu zählten Loader, Injektoren und Backdoors, die den dauerhaften Zugriff auf die angegriffenen Systeme sicherstellen sollten.
Zu den von den Forschern identifizierten Werkzeugen gehörten RatGopher und BoxOfFriends, der Injektor JabGopher, der Loader FriendDelivery sowie eine Backdoor namens SSLORDoor. Für das Ausschleusen gestohlener Daten setzten die Angreifer ein eigenes Exfiltrationswerkzeug namens CompactGopher ein, das Dateien komprimierte und auf den Filesharing-Dienst File.io hochlud.
ESET ordnet die Operation Aktivitäten im Bereich der Cyberspionage zu, schrieb die Kampagne aber keiner konkreten Einheit zu. Die Gruppe ist nach Angaben der Forscher mindestens seit November 2023 aktiv.