گروه APT جدید GopherWhisper از Outlook، Slack و Discord برای ارتباطات سوءاستفاده می‌کند

یک گروه تهدید سایبری تحت حمایت دولتی با نام «GopherWhisper» که پیش از این ناشناخته بود، با استفاده از ابزارهای سفارشی مبتنی بر زبان برنامه‌نویسی Go و سوءاستفاده از سرویس‌های قانونی نظیر Microsoft 365 Outlook، Slack و Discord، به نهادهای دولتی حمله می‌کند. این گروه که از سال ۲۰۲۳ فعال بوده و به چین منتسب است، در کمپینی که توسط شرکت امنیت سایبری ESET شناسایی شده، یک نهاد دولتی در مغولستان را هدف قرار داده و مجموعه‌ای از بدافزارها (malware) شامل چندین درب پشتی (backdoor) را مستقر کرده است. این درب‌های پشتی از Slack، Discord و Microsoft Graph API برای ارتباطات فرمان و کنترل (C2) بهره می‌برند. ابزارهای شناسایی‌شده شامل LaxGopher، RatGopher، BoxOfFriends، SSLORDoor، JabGopher، FriendDelivery و CompactGopher می‌شوند که اکثراً مبتنی بر Go هستند.

محققان ESET با استفاده از اعتبارنامه‌های (credentials) رمزگذاری‌شده در بدافزارها، توانستند به حساب‌های مهاجمان دسترسی یابند و در مجموع ۶٬۰۴۴ پیام Slack از اوت ۲۰۲۴ و ۳٬۰۰۵ پیام Discord از نوامبر ۲۰۲۳ را بازیابی و تحلیل کنند. بررسی زمان‌بندی پیام‌ها نشان داد که فعالیت‌ها عمدتاً در بازه ساعت کاری ۸ صبح تا ۵ بعدازظهر به وقت UTC+8 انجام شده که با منطقه زمانی چین مطابقت دارد و اطمینان از انتساب این حملات به چین را افزایش می‌دهد. داده‌های ESET نشان می‌دهد که این گروه ۱۲ سیستم در یک نهاد دولتی مغولستان را به خطر انداخته، اما تحلیل ترافیک C2 حاکی از وجود «ده‌ها قربانی دیگر» است.