ESET Researchは、これまで報告されていなかった中国寄りのAPTグループを発見し、「GopherWhisper」と命名したと2026年4月23日にスロバキア・ブラチスラバから発表した。
同グループはモンゴルの政府機関を標的としており、ESETは2025年1月にモンゴルの政府機関のシステム内でバックドア「LaxGopher」を発見したことを契機に調査を進めた。発見されたツールは7つで、うち4つはバックドアであり、Go言語で書かれた「LaxGopher」「RatGopher」「BoxOfFriends」と、C++で書かれた「SSLORDoor」である。さらにインジェクター「JabGopher」、Go言語ベースのデータ窃取ツール「CompactGopher」、悪意あるDLLファイル「FriendDelivery」が含まれる。GopherWhisperはC&C通信およびデータ窃取のためにDiscord、Slack、Microsoft 365 Outlook、file.ioを悪用している。メッセージの送信時刻が午前8時から午後5時の中国標準時と一致したことなどから、中国寄りのグループと判断された。ESETのエリック・ハワード氏がBotconf 2026にて発表した。
【編集部解説】
ESET Researchが今回明らかにしたGopherWhisperは、サイバースパイ活動の手口が「インフラ攻撃」から「信頼の悪用」へとシフトしていることを示す象徴的な事例です。攻撃者が独自のC&Cサーバーを構築するのではなく、私たちが日々業務で利用しているDiscord、Slack、Microsoft 365 Outlookといった正規サービスを通信経路そのものに転用している点に、大きな意味があります。
この手法は、セキュリティ業界で「LOTS(Living Off Trusted Services:信頼されたサービスの悪用)」と呼ばれるものです。マルウェアの通信が、社員が普段から使うチャットツールやクラウドサービスのトラフィックに紛れ込むため、IPアドレスやドメインのブロックリストでは検知が極めて困難になります。
特に注目すべきは、BoxOfFriendsというバックドアがOutlookの「下書きメール」をやり取りに使っていた点です。送信されないため通信ログに残りにくく、Microsoft Graph APIを経由するため見かけは正規の業務通信と区別がつきません。攻撃が「目に見える形で外に出ない」という設計思想が、このグループの巧妙さを物語っています。
一方で、ESETのシニアマルウェア研究者マシュー・タルタール氏は、米メディアの取材に対し「特に高度なグループとは思わない」とも語っています。攻撃者の作業フォルダから「How to write RATs(リモートアクセス型トロイの木馬の書き方)」というファイル名が見つかっており、開発者がマルウェア開発に比較的不慣れである可能性が示唆されました。にもかかわらず7種ものツールを短期間で量産している点は、国家支援型の脅威アクターが必ずしもエリート集団とは限らず、「平均的なスキルでも目的を達成できる時代」に入ったことを意味します。
なぜ標的がモンゴルなのか。これは地政学を抜きには語れません。モンゴルは中国とロシアという二大サイバー大国に挟まれており、米国・日本・韓国・EUを「第三の隣人」と位置づけて独自外交を展開しています。中国にとって、モンゴルの政府機関の動向は常に監視対象であり、過去にもRedDelta(別名TA416)などの中国系APTがPlugXマルウェアで同国の国防省を狙った経緯があります。
数字の面でも背景が見えてきます。モンゴルのInstitute for Strategic Studiesによれば、同国では2024年に160万件のサイバー攻撃・インシデントが記録され、被害額は25.4 million USD(約38億円、1ドル=150円換算)に達しました。GopherWhisperは、この大きな潮流の中の一つの顕在化に過ぎません。
ESETによる調査では、攻撃者のSlackから6,044件、Discordから3,005件のメッセージが抽出され、最古のDiscordメッセージは2023年11月16日にまで遡ります。攻撃者がログを消去せずに運用していたという「ずさんさ」が、防御側の研究者に内部活動を覗き込む稀有な機会を与えた格好です。
この事案が私たちに突きつける問いは、本質的なものです。Discord、Slack、Outlookは、現代のリモートワークと知識労働を支える「公共財」と化しています。これらが攻撃インフラとして悪用されるとき、企業のセキュリティチームは「正規サービスの通信を疑う」という、これまでとは逆方向の検知ロジックを構築せざるを得ません。
長期的視点では、SaaS事業者側のAPI監視・異常検知の責任が今後さらに重くなるでしょう。利用者側でも、Slack・Discord・Microsoft 365のAPIトークン管理、DLLサイドローディングの監視、svchost.exeへの不審なプロセス注入の検知など、エンドポイントとクラウド双方を横断する防御体制が求められます。
「Tech for Human Evolution」を掲げる私たちが直視すべきなのは、コラボレーションを加速させてきたツール群そのものが、地政学的な情報戦の舞台になっているという事実です。利便性と安全性のバランスを誰が、どのように設計し直すのか。これは技術者だけでなく、サービス利用者一人ひとりに突きつけられた課題と言えます。
【参考情報】
APT(Advanced Persistent Threat)
高度な技術と豊富なリソースを持ち、特定の標的に対して長期間にわたり執拗に攻撃を継続する脅威アクターを指す。多くの場合、国家の支援を受けたグループに対して用いられる用語である。
バックドア
攻撃者が侵害したシステムへ後から自由に再侵入できるよう、密かに仕掛ける裏口の仕組みを指す。一度設置されると、正規の認証を経由せずに遠隔操作が可能となる。
C&C(コマンド・アンド・コントロール、C2)
攻撃者が遠隔から感染端末へ命令を送信し、結果や窃取データを受け取るための司令塔となる通信基盤のこと。攻撃キャンペーンの中枢を担う。
LOTS(Living Off Trusted Services)
攻撃者が独自インフラを構築せず、Discord・Slack・GitHub・各種クラウドサービスといった正規のサービスを通信経路として悪用する手法。正規通信に紛れるため検知が難しい。
DLLサイドローディング
正規のアプリケーションが読み込むはずのDLLファイルに偽装して、悪意あるDLLを同じディレクトリに配置し、信頼されたプロセスに実行させる手口である。今回のwhisper.dllもこの手法で読み込まれた。
Go言語(Golang)
Googleが開発したプログラミング言語で、マスコットキャラクターはホリネズミ(ゴーファー)。クロスプラットフォームでの実行ファイル生成が容易なため、近年マルウェア開発にも頻繁に使われている。
Microsoft Graph API
Microsoft 365のメール、カレンダー、ファイルなどへ統合的にアクセスするための公式インターフェース。攻撃者が悪用すると、Outlookの下書きメールを通信媒体に変えるなど、正規通信を装った活動が可能になる。
インジェクター
正規プロセス(例:svchost.exe)のメモリ空間にマルウェアコードを注入し、信頼されたプロセスとして悪意あるコードを実行させるためのツールを指す。
エクスフィルトレーション(Exfiltration)
侵害したシステムから機密データを外部へ持ち出す行為のこと。今回はZIP圧縮・AES-CFB-128暗号化のうえfile.ioへアップロードする手順が確認された。
第三の隣人政策(Third Neighbor Policy)
中国とロシアに国境を接するモンゴルが、米国・日本・韓国・EUなどの民主主義国を「第三の隣人」と位置づけ、独自外交を展開する基本方針である。中国系APTによる対モンゴル諜報活動の動機の一つとされる。
RedDelta / TA416
中国系の国家支援型APTグループの通称。Mustang PandaやTwill Typhoonとも呼ばれる。PlugXバックドアを用い、過去にモンゴル国防省などを標的にした記録がある。
【参考リンク】
ESET公式サイト(外部)
スロバキア・ブラチスラバ拠点のサイバーセキュリティ企業の公式サイト。エンドポイント保護やAPT調査、脅威インテリジェンスを提供。
WeLiveSecurity(外部)
ESETが運営する公式セキュリティリサーチブログ。GopherWhisperの詳細分析「A burrow full of malware」が公開されている。
Discord公式サイト(外部)
ゲーマーや開発者コミュニティを中心に世界で1.5億人以上が利用する音声・テキストチャットサービスの公式サイト。
Slack公式サイト(外部)
Salesforce傘下のビジネス向けチームコミュニケーションツールの公式サイト。今回はAPIトークンが攻撃者に悪用された。
Microsoft 365公式サイト(外部)
Microsoftが提供する法人向け統合生産性スイートの公式サイト。Outlook、Graph APIを含む。
Microsoft Graph公式ドキュメント(外部)
Microsoft 365のデータへ統合的にアクセスするためのAPIの公式技術文書。
file.io(外部)
一度ダウンロードされると自動削除される一時ファイル共有サービスの公式サイト。匿名性が高く攻撃者にも悪用されやすい。
The Go Programming Language(外部)
Googleが開発したプログラミング言語Goの公式サイト。マスコットのゴーファーが「GopherWhisper」の命名由来。
Botconf(外部)
マルウェアやボットネットの研究者・実務者が集う国際カンファレンスの公式サイト。エリック・ハワード氏が今回の調査結果を発表。
Institute for Strategic Studies, Mongolia(外部)
モンゴル国家安全保障会議傘下のシンクタンクで、ウランバートルに拠点を置く。同国のサイバー被害統計の出典。
【参考記事】
GopherWhisper: A burrow full of malware(WeLiveSecurity / ESET)(外部)
ESET Researchによる一次情報のテクニカルレポート。全7ツールの動作原理、C&Cメカニズム、IoC、中国系と判断した根拠などを詳説。
New GopherWhisper APT group abuses Outlook, Slack, Discord for comms(BleepingComputer)(外部)
Slackから6,044件、Discordから3,005件のC&Cメッセージを抽出した数値、最古のDiscordメッセージが2023年11月16日であった事実を詳述。
Chinese APT Abuses Multiple Cloud Tools to Spy on Mongolia(Dark Reading)(外部)
モンゴル政府機関で約12システムが感染した事実、シニア研究者マシュー・タルタール氏の評価、2024年の同国被害25.4 million USDなどを伝える。
China-Linked GopherWhisper Infects 12 Mongolian Government Systems with Go Backdoors(The Hacker News)(外部)
2023年11月から活動という期間、AES-CFB-128暗号化、JabGopherがwhisper.dllをsvchost.exeへ注入する流れなど技術詳細をまとめた記事。
China-linked hackers targeted Mongolian government using Slack, Discord for covert communications(The Record)(外部)
ESETの調査結果を地政学的視点から整理した記事。攻撃の帰属を特定組織には行っていない点を冷静に伝える。
Why Mongolia Needs Cybersecurity Literacy?(Institute for Strategic Studies, Mongolia)(外部)
モンゴル政府系シンクタンクによる同国のサイバーセキュリティ現状分析。2024年160万件・25.4 million USDの公式データを提示。
Chinese State-Sponsored RedDelta Targeted Taiwan, Mongolia, and Southeast Asia(Recorded Future)(外部)
中国系RedDeltaがモンゴル国防省などを標的にPlugXを展開した経緯を解説。対モンゴル諜報の継続的潮流を理解する背景資料。
【編集部後記】
普段なにげなく開いているSlackやDiscord、Outlookが、誰かにとっては「攻撃インフラ」として見えているかもしれない、と考えると少し落ち着かない気持ちになります。便利さと安全性は、どこで折り合うのが心地よいでしょうか。皆さんの職場や個人利用の現場で、APIトークンや連携アプリの管理に違和感を覚えた経験はありませんか。「正規サービスを疑う」という視点は、これからの私たちにとって新しいリテラシーになっていくのかもしれません。一緒に考えていけたら嬉しいです。
