文章总结： GopherWhisper组织利用多种基于Go和C++的后门程序入侵了蒙古约12个政府系统。该组织滥用Slack、Discord、Outlook等合法服务进行隐蔽的命令控制与数据窃取，武器库包含LaxGopher等组件。建议政企机构加强对滥用合法云服务流量的监控，并部署针对Go语言恶意软件的检测规则以防范此类攻击。
综合评分： 79
文章分类： 威胁情报,恶意软件,数据泄露
GopherWhisper 通过 Go 后门感染了12个蒙古政府系统
会杀毒的单反狗
会杀毒的单反狗
爱拍照的老李
2026年4月24日 09:03
湖北
在小说阅读器读本章
去阅读
导读
GopherWhisper组织使用大量主要用Go语言编写的工具，通过注入器和加载器在其武器库中部署和执行各种后门。
斯洛伐克网络安全公司 ESET 在一份报告中指出： “GopherWhisper组织掌握着大量工具，其中大部分是用 Go 语言编写的，利用注入器和加载器来部署和执行其武器库中的各种后门程序。GopherWhisper 滥用合法服务，特别是 Discord、Slack、Microsoft 365 Outlook 和 file.io，进行命令与控制 (C&C) 通信和数据窃取。”
该组织于2025年1月首次被发现，当时在蒙古某政府机构的系统上发现了一个前所未见的后门程序，代号为LaxGopher。
据评估，GopherWhisper至少从2023年11月起就处于活跃状态。除了LaxGopher之外，该威胁组织武器库中的其他一些恶意软件家族也基于Golang，这些工具用于接收来自C&C服务器的指令，执行指令并将结果发送回服务器。
威胁组织还使用文件收集工具来收集感兴趣的文件，并以压缩格式将其泄露到 file[.]io 文件共享服务，以及一个 C++ 后门，该后门可以远程控制受感染的主机。
来自 ESET 的遥测数据显示，与蒙古政府机构相关的约 12 个系统感染了后门，来自攻击者控制的 Discord 和 Slack 服务器的 C&C 流量表明还有数十名其他受害者。
目前尚不清楚 GopherWhisper 究竟是如何获得目标网络初始访问权限的。但成功立足之后，它会尝试部署各种各样的工具和植入程序。
- JabGopher是一个注入器，用于执行 LaxGopher（“whisper.dll”）后门。
- LaxGopher是一个基于 Go 的后门程序，它使用 Slack 作为 C2 服务器，通过“cmd.exe”执行命令并将结果发布回 Slack 频道，还可以下载其他恶意软件。
- CompactGopher是一个基于 Go 的文件收集实用程序，由 LaxGopher开发，用于按扩展名（.doc、.docx、.jpg、.xls、.xlsx、.txt、.pdf、.ppt 和 .pptx）过滤感兴趣的文件，将它们压缩成 ZIP 文件，使用 AES-CFB-128 加密归档文件，并将它们导出到 file[.]io。
- RatGopher是一个基于 Go 的后门，它使用私有 Discord 服务器接收 C&C 消息、执行命令并将结果发布回配置的 Discord 频道，以及从 file[.]io 上传和下载文件。
- SSLORDoor是一个基于 C++ 的后门程序，它使用 OpenSSL BIO 通过 443 端口上的原始套接字进行通信，以枚举驱动器、执行文件操作，并根据“cmd.exe”的 C&C 输入运行命令。
- FriendDelivery是一个恶意 DLL，它充当 BoxOfFriends 的加载器和注入器。
- BoxOfFriends是一个基于 Go 的后门程序，它使用 Microsoft Graph API 为 C2 系统创建草稿电子邮件，并使用硬编码的凭据。为此目的创建的最早的Outlook 帐户（“barrantaya.1010@outlook[.]com”）创建于 2024 年 7 月 11 日。
技术报告：
《GopherWhisper：一个充满恶意软件的洞穴》
https://www.welivesecurity.com/en/eset-research/gopherwhisper-burrow-full-malware/
新闻链接：
https://thehackernews.com/2026/04/china-linked-gopherwhisper-infects-12.html
扫码关注
军哥网络安全读报
讲述普通人能听懂的安全故事
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：爱拍照的老李 会杀毒的单反狗
会杀毒的单反狗《GopherWhisper 通过 Go 后门感染了12个蒙古政府系统》