Um cluster de cibercrime de língua chinesa, conhecido como Gambling Goblin, foi flagrado instalando módulos maliciosos do Apache em servidores web comprometidos de instituições governamentais e educacionais do Brasil. O objetivo era redirecionar visitantes para páginas controladas pelos atacantes, voltadas à promoção de jogos de azar online e apostas esportivas.
A Check Point Research informou que acompanha a campanha desde meados de 2025.
Segundo a empresa, os módulos funcionam como um proxy reverso e encaminham os visitantes para um conjunto de páginas de phishing, embora o tráfego ainda pareça vir do domínio legítimo. Os cabeçalhos de segurança do próprio site também são removidos, o que permite que o conteúdo injetado seja executado sem restrições.
Essas páginas se passam por lojas confiáveis de aplicativos, como Google Play, Microsoft Store e Amazon, e usam essa aparência para empurrar apostas esportivas e jogos de azar online.
A Check Point afirma que o objetivo provável é manipular, em grande escala, a otimização para mecanismos de busca, ou SEO. Para isso, os criminosos exploram domínios comprometidos de alta reputação, muitos deles de órgãos públicos brasileiros, em uma cadeia usada para inflar posições nos resultados de busca.
Em julho, a ANY.RUN informou que pelo menos 20 portais .gov.br ligados a prefeituras e forças policiais brasileiras haviam sido usados para distribuir malware em uma campanha que monitora como PhantomEnigma.
“Esses sistemas governamentais fazem parte da cadeia de entrega, não são alvos confirmados da campanha”, disse a ANY.RUN em relatório publicado em 16 de julho.
A empresa também afirmou que servidores comprometidos em domínios .gov.br e .jus.br devem ser tratados separadamente da infraestrutura controlada pelos atacantes, porque um bloqueio amplo poderia interromper o acesso a recursos públicos.
O Brasil passou a licenciar apostas de quota fixa em 1º de janeiro de 2025, com base na Lei 14.790/2023, e autorizou operadores a atuar em domínios .bet.br emitidos pelo Registro.br, o órgão responsável pelos domínios no país.
A Check Point não informou se os sites de apostas promovidos pelos servidores comprometidos têm essa autorização.
Uma vez dentro de um host, o grupo instala as seguintes ferramentas:
- DownPro, um downloader personalizado
- AlphaAgent, um backdoor modular
- oRAT, um trojan de acesso remoto (RAT)
- um ladrão de credenciais baseado em 3snake
- um brute-forcer de SSH
- um agente de reconhecimento orientado por plugins
A versão pública do 3snake usa ptrace para se anexar a processos sshd e sudo recém-criados e extrai cadeias de texto relacionadas à autenticação por senha. A documentação do projeto afirma que a ferramenta tem como alvo servidores com root.
Pesquisadores analisaram o código-fonte do 3snake no GitHub em 2 de setembro de 2026 e confirmou esses pontos. Assim, as credenciais usadas para administrar um servidor comprometido são lidas por um componente controlado pelos operadores.
A Check Point disse não ter observado diretamente como o grupo obtém o acesso inicial. Em um diretório aberto encontrado em um dos servidores do ator havia um binário ELF escrito em Go, que reúne plugins de reconhecimento e varredura.
Até agora, o material divulgado não inclui a quantidade de servidores comprometidos nem nomes de módulos, caminhos ou hashes que permitiriam aos administradores verificar se os módulos foram carregados em suas próprias instâncias do Apache.
Também foram identificadas redes paralelas de phishing localizadas em vietnamita, espanhol e inglês, além de uma infraestrutura que gera novos domínios diariamente. Como as páginas já imitam destinos de download de aplicativos, a Check Point afirmou que os operadores estão “a um passo de empurrar malware diretamente para as vítimas”.
O resumo publicado não cita nenhuma organização afetada e tampouco informa se os servidores comprometidos já foram limpos.
A Check Point associou o cluster ao Earth Berberoka, ator que a Trend Micro documentou em 2022 por atacar sites de apostas na Ásia com famílias de malware historicamente atribuídas a indivíduos de língua chinesa.
O Xnote, um backdoor para Linux ligado ao grupo, foi reportado em março durante ataques a infraestruturas críticas na Ásia.
O oRAT, uma das ferramentas para Linux desse arsenal, foi documentado pela Trend Micro em abril de 2022 como malware do Earth Berberoka, em amostras para Windows e macOS identificadas como versão 0.5.1. A origem foi confirmada com base na pesquisa da Trend Micro em 2 de setembro de 2026.
A ESET documentou pelo menos 65 servidores Windows, principalmente no Brasil, na Tailândia e no Vietnã, comprometidos em junho de 2025 pelo GhostRedirector, um ator que a empresa avaliou com confiança moderada como alinhado à China. O grupo instalou um módulo nativo do Internet Information Services (IIS) chamado Gamshen.
“O GhostRedirector desenvolveu um módulo nativo malicioso para IIS, o Gamshen, que pode realizar fraude de SEO; acreditamos que seu objetivo seja promover artificialmente diversos sites de apostas”, disse a ESET.
O Gamshen alterava a resposta do servidor somente quando a requisição vinha do Googlebot, deixando os visitantes comuns com a página que haviam solicitado.
A Palo Alto Networks Unit 42 documentou a mesma técnica de proxy reverso em servidores IIS em setembro de 2025.
Em julho de 2025, a Hunt.io disse ter encontrado mais de 630.000 URLs geradas em subdomínios .gov.br sequestrados, exibindo páginas no estilo governamental recheadas de palavras-chave para o Googlebot, enquanto redirecionavam usuários reais para sites de apostas.
A empresa ocultou alguns indicadores em coordenação com a equipe de resposta a incidentes do governo brasileiro, o CTIR, enquanto a investigação seguia em andamento.
“O objetivo não era invadir sistemas. Era controlar a visibilidade”, disse a Hunt.io.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...