- Регистрация
- Окт 17, 2022
- Сообщения
- 870
- Реакции
- 91
- Награды
- 1
Было замечено, что группа киберпреступников, владеющая китайским языком и известная как Gambling Goblin, устанавливает вредоносные модули Apache на скомпрометированные веб-серверы, управляемые правительством Бразилии и образовательными учреждениями, и использует их для перенаправления посетителей на контролируемые злоумышленниками страницы, рекламирующие онлайн-азартные игры и ставки на спорт.
Компания Check Point Research заявила, что отслеживает ход кампании с середины 2025 года.
Модули используют обратный прокси для перенаправления посетителей на набор фишинговых страниц, при этом трафик по-прежнему выглядит так, будто он исходит с легитимного домена. Собственные заголовки безопасности сайта удаляются, что позволяет внедренному контенту беспрепятственно воспроизводиться.
Эти страницы выдают себя за проверенные магазины приложений, включая Google Play, Microsoft Store и Amazon, и продвигают онлайн-азартные игры и ставки на спорт, скрываясь за этим фасадом.
Компания Check Point заявила, что вероятная цель — масштабное манипулирование поисковой оптимизацией (SEO) с помощью взломанных доменов с высокой репутацией, многие из которых являются сайтами бразильского правительства, объединенных в цепочку для завышения позиций в поисковой выдаче.
В июле ANY.RUN сообщило, что по меньшей мере 20 порталов .gov.br, принадлежащих бразильским муниципалитетам и полицейским силам, использовались для распространения вредоносного ПО в рамках кампании, отслеживаемой изданием под названием PhantomEnigma .
Было замечено, что группа киберпреступников, владеющая китайским языком и известная как Gambling Goblin, устанавливает вредоносные модули Apache на скомпрометированные веб-серверы, управляемые правительством Бразилии и образовательными учреждениями, и использует их для перенаправления посетителей на контролируемые злоумышленниками страницы, рекламирующие онлайн-азартные игры и ставки на спорт.
Компания Check Point Research заявила, что отслеживает ход кампании с середины 2025 года.
Модули используют обратный прокси для перенаправления посетителей на набор фишинговых страниц, при этом трафик по-прежнему выглядит так, будто он исходит с легитимного домена. Собственные заголовки безопасности сайта удаляются, что позволяет внедренному контенту беспрепятственно воспроизводиться.
Эти страницы выдают себя за проверенные магазины приложений, включая Google Play, Microsoft Store и Amazon, и продвигают онлайн-азартные игры и ставки на спорт, скрываясь за этим фасадом.
Компания Check Point заявила, что вероятная цель — масштабное манипулирование поисковой оптимизацией (SEO) с помощью взломанных доменов с высокой репутацией, многие из которых являются сайтами бразильского правительства, объединенных в цепочку для завышения позиций в поисковой выдаче.
В июле ANY.RUN сообщило, что по меньшей мере 20 порталов .gov.br, принадлежащих бразильским муниципалитетам и полицейским силам, использовались для распространения вредоносного ПО в рамках кампании, отслеживаемой изданием под названием PhantomEnigma .
«Эти правительственные системы являются частью цепочки поставок, а не подтвержденными целями предвыборной кампании», — говорится в отчете ANY.RUN, опубликованном 16 июля.
ANY.RUN заявила, что взломанные хосты .gov.br и .jus.br следует обрабатывать отдельно от инфраструктуры, контролируемой злоумышленниками, поскольку их широкая блокировка нарушит доступ к государственным ресурсам.
Бразилия начала выдавать лицензии на ставки с фиксированными коэффициентами 1 января 2025 года в соответствии с Законом 14790/2023 и разрешила операторам работать на доменах .bet.br, выданных через Registro.br, бразильский реестр доменов.
Компания Check Point не сообщила, обладают ли букмекерские сайты, рекламируемые через взломанные серверы, соответствующей авторизацией.
После установки на хост, как сообщила компания Check Point, группа развертывает следующие инструменты:
- DownPro — программа для скачивания файлов, созданная на заказ.
- AlphaAgent — модульный бэкдор
- oRAT — троянская программа удаленного доступа (RAT).
- Программа для кражи учетных данных на основе 3snake
- Перебор паролей SSH
- Разведывательный агент с поддержкой плагинов
Публичная версия 3snake подключает ptrace к только что запущенным процессам sshd и sudo и извлекает строки, связанные с аутентификацией на основе паролей. В документации указано, что инструмент предназначен для серверов с root-доступом.
2 сентября 2026 года Hacker News проверил исходный код 3snake на GitHub и подтвердил оба утверждения. Таким образом, учетные данные, используемые для администрирования скомпрометированного сервера, считываются компонентом, контролируемым операторами.
Компания Check Point заявила, что не наблюдала напрямую, как группа получает первоначальный доступ. В открытом каталоге на одном из серверов злоумышленника находился исполняемый файл ELF, написанный на Go, который включает в себя плагины для разведки и сканирования.
Опубликованные на данный момент материалы не содержат данных о количестве скомпрометированных серверов, а также имен файлов модулей, путей к ним или хешей, которые позволили бы администраторам проверить модули, загруженные в их собственные экземпляры Apache.
Также были выявлены параллельные фишинговые сети, локализованные на вьетнамском, испанском и английском языках, а также инфраструктура, ежедневно генерирующая новые домены. Поскольку эти страницы уже имитируют сайты загрузки приложений, компания Check Point заявила, что операторы находятся «в одном шаге от прямой доставки вредоносного ПО жертвам».
В опубликованном отчете не указано название пострадавшей организации и не сообщается, были ли очищены скомпрометированные серверы.
Компания Check Point связала эту группу вредоносных программ с Earth Berberoka, мошеннической платформой, которую Trend Micro в 2022 году описывала как атакующую сайты азартных игр в Азии с использованием семейств вредоносных программ, исторически связанных с лицами, говорящими на китайском языке.
В марте во время атак на объекты критической инфраструктуры в Азии было обнаружено вредоносное ПО Xnote, представляющее собой бэкдор для Linux , связанный с этой группировкой.
oRAT, один из инструментов Linux в этом арсенале, был описан компанией Trend Micro в апреле 2022 года как вредоносная программа Earth Berberoka в образцах для Windows и macOS, помеченных как версия 0.5.1. Hacker News подтвердил это происхождение в ходе исследований Trend Micro 2 сентября 2026 года.
Компания ESET задокументировала как минимум 65 серверов Windows , в основном в Бразилии, Таиланде и Вьетнаме, которые были взломаны в июне 2025 года злоумышленником GhostRedirector, которого она с умеренной степенью уверенности оценила как связанного с Китаем, установившего собственный модуль Internet Information Services (IIS) под названием Gamshen.
«Компания GhostRedirector разработала вредоносный встроенный модуль IIS под названием Gamshen, который может осуществлять SEO-мошенничество; мы считаем, что его цель — искусственное продвижение различных сайтов азартных игр», — заявила компания ESET.
Гамшен изменял ответ сервера только тогда, когда запрос поступал от Googlebot, оставляя обычным посетителям только ту страницу, которую они запрашивали.
Подразделение 42 компании Palo Alto Networks задокументировало аналогичную технику обратного прокси на серверах IIS в сентябре 2025 года .
В июле 2025 года компания Hunt.io сообщила об обнаружении более 630 000 URL-адресов, сгенерированных на взломанных поддоменах gov.br, которые предоставляли Googlebot страницы, перенасыщенные ключевыми словами и оформленные в правительственном стиле, перенаправляя реальных пользователей на сайты ставок.
Компания скрыла некоторые данные в координации с бразильской правительственной группой реагирования на инциденты (CTIR) на время проведения расследования.
«Цель заключалась не во взломе систем, а в контроле над видимостью», — заявили в Hunt.io.
Источник
