.jpg)
Eine von Check Point Research seit Mitte 2025 beobachtete Kampagne kompromittiert brasilianische Regierungswebsites und nutzt deren Reputation für Phishing und die Manipulation von Suchmaschinen-Rankings. Hinter den Angriffen steht laut den Sicherheitsforschern ein chinesischsprachiger Akteur, den sie als „Gambling Goblin“ bezeichnen. Die Kampagne wurde bereits für weitere Sprachräume lokalisiert.
Statt ausschließlich eine eigene Infrastruktur für Betrugsseiten aufzubauen, setzt „Gambling Goblin“ nach Erkenntnissen von Check Point Research (CPR) auf bereits etablierte Websites. Betroffen sind in Brasilien zahlreiche .gov.br-Domains von Bundes-, Landes- und Kommunalbehörden. Nach einer Kompromittierung werden die Webserver so manipuliert, dass sie im Hintergrund als Reverse-Proxys für Phishing-Inhalte dienen. Für Besucher bleibt dabei die eigentlich aufgerufene, legitime Domain in der Adresszeile des Browsers sichtbar.
Quelle: Check Point
Nach dem Eindringen in einen Host setzt die Gruppe ein umfangreiches und stark verschleiertes Linux-Toolkit ein. Dieses umfasst einen maßgeschneiderten Downloader, mehrere Backdoors, einen Credential-Stealer sowie einen Aufklärungsagenten, der Informationen über mit dem Internet verbundene Infrastruktur sammelt.
Eine wesentliche Rolle spielen eigens angepasste Apache-Module, die auf den kompromittierten Servern installiert werden. Sie leiten Besucher unbemerkt auf von den Angreifern kontrollierte Phishing-Seiten um. Gleichzeitig entfernen die Module Sicherheits-Header des Servers und ermöglichen damit die uneingeschränkte Ausführung eingeschleuster Skripte.
Foto: Check Point
Pedro Drimel Neto, Teamleiter bei Check Point Research
„Was diese Kampagne besonders bemerkenswert macht, ist nicht nur, wer dahintersteckt, sondern auch, wie die Angreifer das Vertrauen der Nutzer ausnutzen“,
sagt Pedro Drimel Neto, Teamleiter bei Check Point Research. Anstatt eigene bösartige Infrastruktur aufzubauen, würden legitime Websites einschließlich Regierungsdomains kompromittiert und deren Reputation für Betrug und Weiterleitungen missbraucht.
Die Kampagne zeige zudem, „wie Cyberkriminalität zunehmend industrialisiert und ausgefeilt wird“, so Drimel Neto. Die Angreifer kombinierten Linux-Werkzeuge, Tarntechniken und eine Infrastruktur, die auf eine Skalierung über mehrere Regionen ausgelegt sei. Auch Websites, die nicht als kritische Assets betrachtet würden, könnten dadurch zu Verteilungspunkten für Angriffe werden.
Die ausgespielten Phishing-Seiten imitieren Google Play, den Microsoft Store und Amazon. Dazu verwenden sie unter anderem gefälschte Bewertungen und Rezensionen sowie strukturierte Metadaten. Tatsächlich dienen die Seiten der Bewerbung von Online-Glücksspielen und Sportwetten.
Foto: Check Point
In Brasilien führen App-Kacheln und Navigationslinks auf diesen Seiten zu Dutzenden realen Domains. Bei den meisten von CPR gefundenen Beispielen handelt es sich den Forschern zufolge um kompromittierte .gov.br-Websites unterschiedlicher Regierungsbehörden.
Durch die Verknüpfung von Domains mit bereits bestehender Suchreputation sollen Glücksspielinhalte in den Suchergebnissen nach oben gebracht und der entstehende Traffic weitergeleitet werden. Die Forscher konnten generierte Domains außerdem zu Glücksspiel- und Erotik-Websites zurückverfolgen, die auf ein chinesischsprachiges Publikum ausgerichtet sind.
Foto: Check Point
CPR sieht zudem Verbindungen zum bereits zuvor dokumentierten Cluster „Earth Berberoka“, das Glücksspielseiten in Asien ins Visier nahm. Zu den festgestellten Überschneidungen in der Infrastruktur gehört eine gemeinsam genutzte Amazon-ASN, die laut den Forschern bereits zuvor mit Earth Berberoka in Verbindung gebracht worden war.
Am weitesten fortgeschritten ist die Kampagne derzeit in Brasilien. Die Forscher haben allerdings auch Varianten für vietnamesisch-, spanisch- und englischsprachige Zielgruppen festgestellt. Die Infrastruktur erzeugt täglich neue Domains. CPR wertet dies als Hinweis darauf, dass die Operation auf eine internationale Skalierung ausgelegt ist.
Das Risiko sieht Check Point Research nicht auf SEO-Manipulation und Glücksspielbetrug beschränkt. Da die Phishing-Seiten bereits bekannte App-Stores imitieren, könnte die vorhandene Infrastruktur nach Einschätzung der Forscher durch eine Konfigurationsänderung auch zur direkten Verbreitung schädlicher Apps eingesetzt werden.
Sicherheitsverantwortlichen empfiehlt CPR unter anderem, Apache-Konfigurationen und installierte Module auf unerwartete .so-Dateien zu überprüfen. Besondere Aufmerksamkeit sollten Dateien erhalten, deren Zeitstempel mit legitimen Modulen wie mod_ssl oder mod_suexec übereinstimmen. Auch ein plötzliches Fehlen von „Content-Security-Policy“-Headern auf einzelnen URL-Pfaden könne auf eingeschleustes Reverse-Proxy-Verhalten hindeuten.
Darüber hinaus sollten Sicherheitsteams gezielt nach getarnten Prozessen und bösartigen Apache-Modulen suchen und sich nicht auf Malware auf Endgeräten beschränken. Für öffentliche Einrichtungen komme ein weiterer Faktor hinzu: Die Reputation einer Regierungsdomain sei selbst ein schützenswertes Asset, da eine kompromittierte Domain auch für Betrugsversuche gegen Nutzer außerhalb der jeweiligen Organisation missbraucht werden könne.
