Un cluster di cybercriminali di lingua cinese, denominato Gambling Goblin, ha compromesso siti web governativi ed educativi brasiliani per condurre una campagna di frode SEO a lungo termine. L'operazione mira al fiorente mercato delle scommesse online, utilizzando un sofisticato toolkit Linux e moduli Apache personalizzati.
Un'operazione di cybercriminalità sofisticata, attribuita a un gruppo di lingua cinese e denominata Gambling Goblin, è stata scoperta mentre sfruttava siti web governativi ed educativi brasiliani compromessi per una campagna di frode SEO. La campagna, attiva da metà 2025, mira al crescente mercato delle scommesse online in Brasile, trasformando infrastrutture governative fidate in piattaforme per attività illecite.
Check Point Research (CPR), che ha documentato l'operazione, ha indicato una forte probabilità di connessione tra Gambling Goblin e Earth Berberoka, un altro gruppo di lingua cinese precedentemente identificato da Trend Micro nel 2022 per attacchi a piattaforme di gioco d'azzardo online rivolte a utenti cinesi. Le somiglianze riscontrate includono l'uso di strumenti simili, artefatti operativi e infrastrutture, come l'impiego del malware oRAT e la presenza di stringhe in lingua cinese nei codici.
La tattica principale impiegata da Gambling Goblin consiste nell'installare moduli Apache personalizzati sui server dei siti web compromessi. Questi moduli agiscono come reverse proxy, reindirizzando silenziosamente specifici visitatori verso pagine di phishing controllate dagli attaccanti. Particolarmente preoccupante è la capacità di questi moduli di rimuovere le intestazioni Content-Security-Policy (CSP) esistenti, sostituendole con impostazioni più permissive che consentono l'esecuzione di script esterni e generati dinamicamente. Per eludere il rilevamento, gli attaccanti compilano i moduli direttamente sul server compromesso, eliminando poi il codice sorgente e manipolando i timestamp dei file risultanti per farli apparire come moduli Apache legittimi.
Le pagine di phishing create imitano siti legittimi come Google Play, Microsoft Store e Amazon, ma sono localizzate per il pubblico brasiliano e promuovono attivamente scommesse online e sportive. Le organizzazioni colpite spaziano tra enti governativi federali, statali e municipali, inclusi ministeri, agenzie pubbliche, assemblee legislative e tribunali di conti. Anche siti commerciali brasiliani, come testate giornalistiche locali, fornitori di servizi sanitari e associazioni di categoria, sono stati presi di mira.
L'operazione non si limita all'uso di moduli Apache. CPR ha identificato un toolkit malware Linux più ampio a supporto della campagna. Questo toolkit include il downloader DownPro, backdoor come AlphaAgent e oRAT, lo stealer di credenziali PasswordHarvester basato su 3snake e un brute-forcer SSH. Molti di questi strumenti sono stati impacchettati e protetti con strati di virtualizzazione per ostacolare l'analisi da parte dei ricercatori di sicurezza.
È stato inoltre scoperto un agente di ricognizione che utilizza strumenti popolari come httpx, naabu, Nuclei e subfinder per mappare l'infrastruttura esposta su Internet e identificare i servizi in esecuzione sui potenziali obiettivi. L'agente AlphaAgent, in particolare, supporta l'esecuzione remota di comandi (RCE), il trasferimento di file, il tunneling e la scoperta di host. Una versione più recente di AlphaAgent mostrava tracce di un plugin di esecuzione AI, sebbene la sua funzionalità specifica rimanga ancora da chiarire.
L'infrastruttura utilizzata da Gambling Goblin non è limitata al Brasile. I ricercatori hanno trovato pagine di phishing localizzate anche in vietnamita, spagnolo e inglese, oltre a sistemi che generano nuovi domini ogni giorno, indicando una portata operativa internazionale. La capacità di imitare store di applicazioni legittime attraverso l'infrastruttura di phishing apre potenzialmente la strada alla distribuzione diretta di malware.
CPR raccomanda alle organizzazioni di effettuare audit approfonditi delle configurazioni dei server Apache e SSH, cercando attivamente moduli non autorizzati e processi mascherati. La vigilanza e l'aggiornamento costante delle difese sono cruciali per contrastare questo tipo di minacce persistentemente evolutive.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
