Nuovo gruppo APT cinese GopherWhisper sfrutta piattaforme legittime per il comando e controllo
I ricercatori di ESET hanno identificato un nuovo gruppo APT, denominato GopherWhisper, che si distingue per l'utilizzo sistematico di piattaforme di comunicazione legittime come Discord, Slack e Microsoft 365 Outlook per le attività di comando e controllo e per l'esfiltrazione dei dati sottratti alle vittime.
Scoperta e attributi del gruppo
Il gruppo, ritenuto allineato alla Cina sulla base di una serie di elementi tecnici e comportamentali, è stato scoperto nel gennaio 2025 e ha preso di mira almeno un ente governativo cinese. Secondo le stime di ESET, basate sull'analisi del traffico C&C proveniente dai server Discord e Slack gestiti dagli attaccanti, oltre a questo ente sarebbero state colpite anche decine di altre vittime, delle quali non sono disponibili informazioni sulla posizione geografica o sul settore di appartenenza.
Eric Howard, il ricercatore ESET che ha individuato il gruppo, ha presentato i risultati dell'indagine alla conferenza Botconf 2026. I dettagli completi sono disponibili nel white paper “GopherWhisper: A burrow full of malware” pubblicato su WeLiveSecurity.com.
Strumenti utilizzati dal gruppo
La scoperta ha origine dal rilevamento di una backdoor precedentemente non documentata, denominata LaxGopher, individuata all'interno dei sistemi di un ente governativo cinese nel gennaio 2025. A partire da quel primo elemento, l'analisi ha permesso di ricostruire un set di strumenti più ampio, composto da sette tool distinti, la maggior parte dei quali scritti nel linguaggio di programmazione Go, con l'obiettivo comune dello spionaggio informatico.
Il set di malware identificato non presentava somiglianze di codice con i tool di altri soggetti noti né vi era alcuna sovrapposizione nelle tattiche, tecniche e procedure (TTP) già associate a gruppi precedentemente tracciati. Sulla base di questi elementi, ESET ha attribuito gli strumenti a un nuovo gruppo, classificandolo come cluster di attività indipendente da qualsiasi soggetto già documentato.
Dettagli degli strumenti
Dei sette tool identificati, quattro sono backdoor: LaxGopher, RatGopher e BoxOfFriends, scritte in Go, e SSLORDoor, sviluppata in C++. A completare il quadro vi sono JabGopher, un injector, CompactGopher, uno strumento di esfiltrazione basato su Go, e FriendDelivery, un file DLL dannoso.
La varietà degli strumenti e la loro specializzazione in ruoli distinti mostrano un modus operandi orientato allo spionaggio informatico: dalla distribuzione e iniezione del codice malevolo nei sistemi compromessi fino alla raccolta e all'invio verso l'esterno delle informazioni sottratte, ciascuno dei tool svolge una funzione specifica all'interno del flusso operativo del gruppo.
Tecniche di comunicazione e controllo
Gli injector e i loader si impiegano per distribuire ed eseguire le varie backdoor presenti nel loro arsenale, rendendo la catena di infezione modulare e difficile da attribuire a un unico vettore di accesso iniziale. I loader permettono agli hacker di assicurarsi l'accesso alle reti e ai sistemi target, fare da supporto ad ulteriori tentativi di intrusione e, in ultima fase, a rilasciare pacchetti di dati dannosi.
L'elemento per cui GopherWhisper si distingue è l'ampio ricorso a servizi legittimi per le comunicazioni di command and control. Invece di ricorrere a server dedicati, il gruppo ha convogliato le proprie comunicazioni attraverso i canali di Discord e Slack. Per alcune backdoor specifiche, hanno utilizzato bozze di posta elettronica gestite tramite Microsoft 365 Outlook e l'API Microsoft Graph.
La backdoor BoxOfFriends, in particolare, comunicava con la propria infrastruttura di controllo sfruttando proprio questa API, che consente di interagire programmaticamente con le caselle di posta di Microsoft 365. Per l'esfiltrazione dei file, il gruppo ha impiegato il servizio file.io. Questa scelta operativa permette di far transitare le comunicazioni malevole attraverso canali che le organizzazioni tendono per definizione a considerare leciti, rendendo più complessa l'individuazione delle attività anomale rispetto all'utilizzo di infrastrutture dedicate e più facilmente riconoscibili.
Analisi interna del gruppo
Nel corso dell'indagine, i ricercatori di ESET hanno avuto accesso diretto ai canali Slack e Discord utilizzati dagli attaccanti, dai quali sono stati estratti migliaia di messaggi, ottenendo una visione approfondita del funzionamento interno del gruppo. L'analisi dei timestamp di quelle comunicazioni ha mostrato che la maggior parte dei messaggi veniva inviata in una finestra oraria compresa tra le 8:00 e le 17:00, corrispondente all'orario lavorativo standard cinese.
Sulla base di questi elementi, ESET ritiene che GopherWhisper sia un gruppo legato alla Cina. Un ulteriore dettaglio rilevante è che i server Slack e Discord del gruppo sono stati inizialmente utilizzati per testare la funzionalità delle backdoor e, successivamente, senza cancellare i log, hanno trovato impiego come server C&C operativi per le backdoor LaxGopher e RatGopher su diversi computer compromessi.
Oltre alle comunicazioni su Slack e Discord, i ricercatori sono riusciti ad estrarre i messaggi di posta elettronica utilizzati per la comunicazione tra la backdoor BoxOfFriends e il suo C&C tramite l'API Microsoft Graph. La mancata eliminazione dei log ha consentito ai ricercatori di ricostruire con notevole dettaglio il funzionamento interno del gruppo, le modalità di sviluppo e test degli strumenti prima dell'impiego operativo, e la progressione delle attività sui sistemi compromessi.
Implicazioni per la sicurezza
La vicenda mette in evidenza una tendenza che i team di sicurezza sono chiamati a considerare con attenzione: l'utilizzo di servizi di messaggistica e collaborazione comunemente adottati in ambito professionale come canale per le comunicazioni malevole pone sfide specifiche ai sistemi di rilevamento, poiché il traffico verso questi servizi tende a essere considerato lecito per definizione.
L'analisi di ESET mostra come questa caratteristica possa essere sfruttata in modo sistematico e continuativo, rendendo opportuno un ripensamento dei criteri con cui si valuta l'anomalia nel traffico di rete, a prescindere dalla reputazione del servizio verso cui quel traffico è diretto. In questo senso, la documentazione di GopherWhisper contribuisce ad arricchire la conoscenza collettiva sulle tecniche di evasione adottate dai gruppi APT e sulle contromisure che è necessario sviluppare per contrastarle.
Contesto strategico e implicazioni geopolitiche
L'emergere di GopherWhisper si inserisce in un contesto più ampio di escalation delle minacce informatiche con connotati geopolitici. Gli esperti di cybersecurity sottolineano come questo gruppo rappresenti un'evoluzione delle tradizionali Advanced Persistent Threats (APT) cinesi, che stanno sempre più adottando tecniche di "living off the land" per evitare il rilevamento. La scelta di strumenti open source come Go e l'utilizzo di piattaforme collaborative commerciali riflettono una tendenza preoccupante: la democratizzazione degli strumenti di attacco che abbassa la soglia d'ingresso per nuovi attori malevoli.
Sfide per le difese aziendali
La complessità del caso GopherWhisper pone sfide particolari per le organizzazioni. I tradizionali sistemi di rilevamento basati su reputazione dei domini o indirizzi IP risultano inefficaci contro minacce che operano attraverso servizi legittimi. ESET raccomanda l'adozione di soluzioni avanzate di analisi comportamentale e di machine learning per identificare schemi anomali nel traffico verso queste piattaforme. In particolare, l'analisi dei pattern di utilizzo temporale - come l'orario di attività corrispondente a fusi orari specifici - potrebbe diventare un indicatore chiave per l'identificazione di attività sospette.
Evoluzione delle contromisure
In risposta a queste minacce, il settore sta sviluppando nuove contromisure. Alcune aziende stanno implementando soluzioni di "shadow IT discovery" per identificare l'uso non autorizzato di servizi cloud. Microsoft ha annunciato miglioramenti alla propria sicurezza cloud per rilevare attività anomale nelle bozze di posta elettronica. La comunità cybersecurity sta inoltre lavorando a framework di condivisione delle minacce che permettano di scambiare informazioni su questi nuovi vettori di attacco in tempo reale.
Prospettive future
Gli esperti prevedono che l'utilizzo di servizi legittimi per scopi malevoli diventerà sempre più diffuso. Secondo il rapporto annuale di ESET, il 47% delle APT moderne sta adottando questa tecnica, con un aumento del 23% rispetto all'anno precedente. La prospettiva di un futuro in cui i servizi cloud diventano sempre più centrali nelle infrastrutture aziendali rende questa tendenza particolarmente preoccupante. Le organizzazioni dovranno quindi ripensare radicalmente le proprie strategie di sicurezza, spostandosi da un approccio basato sulla perimetrazione a modelli di sicurezza basati su zero trust.
Consigli pratici per le organizzazioni
- Implementare soluzioni di analisi comportamentale per rilevare attività anomale nei servizi cloud legittimi
- Monitorare attentamente l'uso di piattaforme di collaborazione come Slack e Discord per identificare pattern sospetti
- Adottare politiche di sicurezza basate su zero trust che limitino l'accesso ai dati sensibili anche per utenti e servizi legittimi
- Investire in formazione continua per i dipendenti sui rischi associati all'uso di servizi cloud
- Collaborare con la comunità cybersecurity per lo scambio di informazioni sulle minacce emergenti
La comparsa di GopherWhisper rappresenta un punto di svolta nella sicurezza informatica, richiedendo un ripensamento radicale delle strategie di difesa tradizionali. Le organizzazioni che non si adatteranno a questa nuova realtà rischiano di diventare obiettivi vulnerabili per attori malevoli sempre più sofisticati.
Nota Editoriale e Disclaimer
Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.
GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.
Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l’uso improprio delle informazioni pubblicate.
Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.