ESET, Moğolistan’ı Hedef Alan Yeni Çin Bağlantılı APT Grubu GopherWhisper’ı Keşfetti

Siber güvenlik şirketi ESET, Moğolistan’daki bir devlet kurumunu hedef alan ve Çin ile bağlantılı olduğu düşünülen yeni bir APT grubu keşfetti. GopherWhisper adı verilen grup, casusluk amacıyla Discord, Slack ve Microsoft 365 Outlook gibi meşru hizmetleri komuta ve kontrol ile veri sızdırma için kullanıyor.

ESET araştırmacıları, Ocak 2025’te Moğolistan’daki bir devlet kurumunun sisteminde daha önce bilinmeyen bir arka kapı (LaxGopher) buldu. Daha sonra aynı grup tarafından kullanılan yedi farklı kötü amaçlı araç tespit edildi. Bunlar arasında Go dilinde yazılmış LaxGopher, RatGopher ve BoxOfFriends ile C++ dilinde yazılmış SSLORDoor arka kapıları yer alıyor. Ayrıca bir enjektör (JabGopher), veri sızdırma aracı (CompactGopher) ve kötü amaçlı DLL (FriendDelivery) bulunuyor.

ESET araştırmacısı Eric Howard, grubun C&C iletişimi için Slack, Discord ve Outlook’u yaygın olarak kullandığını belirtti. Slack ve Discord mesajlarının zaman damgaları, çoğunun Çin Standart Saati ile uyumlu çalışma saatlerinde gönderildiğini gösterdi. Bu nedenle GopherWhisper’ın Çin merkezli olduğu değerlendiriliyor. Grup, araçlarının çoğunun Go dilinde yazılmış olması ve whisper.dll dosya adı nedeniyle bu şekilde adlandırıldı.