Gambling Goblin trasforma i siti governativi brasiliani in un’arma di SEO poisoning

🛡️ Executive Summary

• Check Point scopre Gambling Goblin, cluster cinese che dal 2025 compromette enti governativi e scolastici brasiliani per manipolare i risultati di ricerca.
• Moduli Apache malevoli trasformano i server compromessi in reverse proxy che mostrano false pagine Google Play, Microsoft Store e Amazon dedicate al gambling.
• Il toolkit Linux comprende DownPro, AlphaAgent, oRAT, credential stealer, brute-forcer SSH e strumenti di ricognizione fortemente offuscati.

Un attore cybercriminale di lingua cinese sta trasformando server governativi brasiliani compromessi in infrastrutture per il SEO poisoning, sfruttando la reputazione dei domini .gov.br per spingere nei risultati dei motori di ricerca false pagine dedicate a gioco d’azzardo e scommesse sportive. Check Point Research ha chiamato il gruppo Gambling Goblin e lo collega con confidenza medio-alta a Earth Berberoka, cluster già noto per le operazioni contro il settore del gambling asiatico. La campagna, osservata dalla metà del 2025, non si limita all’iniezione di pagine spam: gli aggressori installano moduli Apache malevoli, backdoor Linux, strumenti per rubare credenziali e agenti di ricognizione capaci di trasformare un server pubblico in una piattaforma permanente di distribuzione e pivoting.

Gambling Goblin entra nei server brasiliani e ne prende in prestito la reputazione

La caratteristica centrale dell’operazione non è semplicemente la compromissione di siti pubblici, ma ciò che accade dopo. Check Point ha osservato organizzazioni brasiliane, soprattutto enti governativi e istituzioni educative, finite all’interno di una rete costruita per sfruttarne autorevolezza e posizionamento nei motori di ricerca. Gli aggressori non sostituiscono necessariamente il sito visibile né mostrano un defacement evidente. Installano invece componenti server-side che fanno comparire contenuti controllati dall’attaccante soltanto su determinati percorsi e in determinate condizioni. In questo modo un dominio istituzionale perfettamente legittimo può ospitare, agli occhi di Google o dell’utente proveniente da una ricerca, una pagina completamente estranea alla funzione dell’ente. Check Point descrive il passaggio come un cambio rilevante anche nella victimology brasiliana: un mercato tradizionalmente dominato da banking trojan sviluppati localmente viene preso di mira da un operatore straniero che porta nel Paese infrastrutture e tecniche nate nel mercato asiatico del gambling.

Il modello ricorda per finalità la pipeline di SEO poisoning utilizzata da Jewelbug per spingere falsi exchange e contenuti crypto, ma Gambling Goblin aggiunge un passaggio particolarmente efficace: invece di costruire soltanto nuovi domini, ruba direttamente l’autorità SEO di infrastrutture pubbliche compromesse. La reputazione accumulata da un ministero, una municipalità o un tribunale diventa così una risorsa monetizzabile dal cybercrime.

Leggi anche: Jewelbug combina cyberspionaggio e SEO poisoning nella stessa infrastruttura

I moduli Apache trasformano i domini .gov.br in reverse proxy invisibili

Il componente tecnicamente più interessante della campagna è un modulo Apache personalizzato. Gambling Goblin utilizza uno script Bash che verifica di avere privilegi root, identifica se il server utilizza Debian/Ubuntu oppure CentOS/Red Hat e installa automaticamente i pacchetti di sviluppo necessari per compilare il modulo attraverso apxs. Il codice sorgente, denominato opsproxy.c, viene scaricato da un server di staging, modificato dinamicamente per adattarlo alla configurazione della macchina e compilato direttamente sull’host compromesso. Una volta installato, lo script cancella sorgenti e artefatti di compilazione e modifica i timestamp dei file .so e delle configurazioni affinché assomiglino a moduli Apache legittimi come mod_ssl o mod_suexec. Le stringhe di stato dello script sono scritte in cinese e utilizzano anche emoji, particolare che secondo Check Point potrebbe essere compatibile con uno sviluppo almeno parzialmente assistito dall’AI.

Il modulo controlla le richieste dirette verso percorsi specifici, nei campioni /wps, /bmw e /card, e le converte in richieste verso server upstream controllati dall’attaccante. Per il visitatore il contenuto continua però ad apparire sotto il dominio governativo originale. Il modulo modifica contemporaneamente la Content Security Policy, rimuovendo le restrizioni imposte dal sito e sostituendole con una configurazione permissiva che consente script inline, codice dinamico e risorse esterne. Il risultato è un reverse proxy clandestino inserito direttamente nel web server istituzionale: l’infrastruttura dell’attaccante produce il contenuto, ma reputazione del dominio, URL e parte del contesto di fiducia appartengono alla vittima.

False pagine Google Play e Microsoft Store spingono gambling nei risultati

I contenuti mostrati attraverso i server compromessi imitano Google Play, Microsoft Store e Amazon, utilizzando rating inventati, falsi conteggi delle recensioni e metadata schema.org costruiti per apparire credibili sia agli utenti sia ai crawler. Alcune pagine recuperano immagini direttamente dal servizio thumbnail di Bing e inseriscono riferimenti ai profili @GooglePlay e @microsoftstore, mentre altre arrivano a utilizzare autentici asset CSS e grafici di Google. Dietro questa facciata non vengono distribuite normali applicazioni: le pagine conducono principalmente verso gambling online e scommesse sportive destinate al mercato brasiliano. Check Point ha individuato decine di domini reali brasiliani all’interno della rete, in gran parte .gov.br, utilizzati per ospitare percorsi come /jogos e /nova. Tra le organizzazioni compromesse figurano, senza che il rapporto ne pubblichi tutti i nomi, un ministero federale, un’agenzia pubblica nazionale, assemblee legislative statali, corti dei conti, aziende pubbliche e numerose amministrazioni municipali.

La tecnica porta il SEO poisoning su un livello differente rispetto ai falsi siti freeware che sfruttano Google per distribuire ScreenConnect e AsyncRAT. In quelle campagne l’attaccante deve costruire una reputazione artificiale per domini appena creati. Gambling Goblin può invece concatenare domini istituzionali già autorevoli, ottenendo collegamenti e pagine che i motori di ricerca hanno molte più ragioni per considerare attendibili.

DownPro apre la strada a backdoor e furto delle credenziali Linux

Il SEO poisoning rappresenta la monetizzazione visibile, ma il toolkit presente sui sistemi compromessi è molto più vicino a quello di un’operazione avanzata. DownPro, scritto in Go, funziona da downloader e installa i componenti successivi scegliendo nomi progettati per confondersi con i processi ordinari del server. Quando dispone di root può utilizzare percorsi come /usr/local/bin/systemd-udevd, /usr/local/bin/rsync-tsl o /usr/local/bin/nftables-init; senza privilegi crea invece file temporanei che imitano sessioni PHP o normali artefatti nella directory /tmp. Gli URL dei payload vengono protetti con AES-GCM e Base64, evitando che le infrastrutture di download restino direttamente leggibili all’interno dei parametri operativi.

DownPro può installare ChUser, backdoor che permette di eseguire comandi dopo un controllo di attivazione remoto o basato su hash, e PasswordHarvester, derivato dal progetto open source 3snake. Quest’ultimo sorveglia processi di autenticazione come sshd, sudo, su, ssh, ssh-add, passwd, kinit e login, offrendo agli operatori la possibilità di sottrarre credenziali utilizzate realmente dagli amministratori. L’insieme mostra che il dominio compromesso non viene trattato come una pagina usa e getta per lo spam: Gambling Goblin costruisce persistenza e controllo dell’host in modo da poter continuare a utilizzare l’infrastruttura anche dopo la fase iniziale della compromissione.

AlphaAgent trasforma il server pubblico in un nodo di pivoting

Uno dei componenti più evoluti identificati da Check Point è AlphaAgent, backdoor modulare capace di comunicare attraverso gRPC su HTTPS, DNS e HTTP. La variante principale utilizza una struttura publish/subscribe e separa i flussi dedicati a terminale interattivo, upload, download e heartbeat. Per nascondersi nel traffico normale, il malware simula il fingerprint TLS di un browser attraverso uTLS, presenta riferimenti apparentemente collegati a Google e Cloudflare e cifra nuovamente con AES-GCM i messaggi già trasportati dentro TLS. Una variante alternativa incapsula i comandi nelle query DNS, suddividendo dati cifrati e codificati Base32 attraverso le label dei domini. Una volta collegato al server di comando, AlphaAgent offre shell remota, pseudo-terminal interattivo, upload, download, esplorazione del filesystem e tunneling. Integra SOCKS5, multiplexing basato su yamux e una modalità relay simile a Ligolo, trasformando il server compromesso in un punto di passaggio verso altre risorse interne. La presenza di strumenti di questo livello spiega perché Check Point descriva l’operazione come finanziariamente motivata ma eseguita con un arsenale che può ricordare quello di un APT. Un singolo server governativo può contemporaneamente fornire reputazione SEO, accesso alle credenziali degli amministratori e un pivot verso la rete interna dell’organizzazione.

Cam-agent automatizza la ricerca dei prossimi server da compromettere

Gambling Goblin dispone anche di un agente chiamato internamente cluster-asset-mapping, abbreviato cam-agent, progettato per la ricognizione di superfici esposte a Internet. Il software combina strumenti open source come httpx, naabu, nuclei, subfinder, dirprobe e whatweb, orchestrandoli tramite policy ricevute da un server centrale. È in grado di enumerare sottodomini, individuare porte aperte, riconoscere framework e web server, provare template Nuclei e analizzare configurazioni Apache e Nginx. Check Point non ha osservato direttamente il vettore iniziale utilizzato nelle compromissioni e quindi non attribuisce al cam-agent una specifica CVE; il rapporto sottolinea però che l’operazione sembra dipendere soprattutto da servizi Internet non aggiornati e credenziali SSH deboli, più che da exploit zero-day. L’agente estrae inoltre DocumentRoot, ServerName, ServerAlias, virtual host e regole proxy_pass, producendo una mappa precisa dei domini presenti sulla macchina. È esattamente l’informazione necessaria per decidere quale sito possieda la migliore reputazione da sfruttare e dove inserire il modulo proxy malevolo. L’attività mostra una forma industrializzata di cybercrime nella quale ricognizione, compromissione, persistenza e monetizzazione SEO fanno parte di una pipeline unica.

Check Point collega Gambling Goblin a Earth Berberoka

L’attribuzione non viene presentata come assoluta. Check Point valuta con confidenza medio-alta un collegamento tra Gambling Goblin ed Earth Berberoka, cluster di lingua cinese documentato da Trend Micro nel 2022 e specializzato nel colpire piattaforme di gambling rivolte a utenti e operatori cinesi. Gli elementi utilizzati per l’associazione sono tre: malware, artefatti degli operatori e infrastruttura. Il collegamento tecnico più forte riguarda oRAT, già associato a Earth Berberoka e presente nella nuova campagna con lo stesso codebase orat/cmd/agent e percorsi REST simili. Un campione AlphaAgent è stato inoltre trovato all’interno dello stesso archivio contenente tool precedentemente attribuiti al cluster. A questi elementi si aggiungono stringhe e commenti in cinese, la continuità dell’interesse per il gambling e domini che imitano piattaforme tecnologiche. Earth Berberoka aveva utilizzato github[.]wiki; Gambling Goblin impiega nomi come github[.]la e gitlab[.]bet. Molti server C2 ricadono inoltre nello stesso ASN Amazon già utilizzato dall’attore in operazioni precedenti. Check Point parla quindi di attore cinese o China-linked soltanto sulla base di indicatori linguistici e sovrapposizioni tecniche, senza attribuire la campagna al governo cinese. È un cluster cybercriminale finanziariamente motivato, non un’operazione statale dimostrata.

Continua con:

• WeedHack usa SEO poisoning e siti creati con AI per colpire i giocatori Minecraft
• BoryptGrab sfrutta falsi repository GitHub e SEO poisoning per svuotare wallet

Dal gambling al malware manca soltanto una modifica dell’infrastruttura

Il rischio principale individuato da Check Point riguarda ciò che Gambling Goblin non sta ancora facendo su larga scala. Le pagine pubblicate attraverso i siti brasiliani imitano già store dai quali gli utenti si aspettano di scaricare applicazioni. Oggi il modello serve principalmente a spingere gambling e scommesse, ma la stessa architettura potrebbe iniziare a distribuire APK o installer malevoli con una semplice modifica della configurazione. Gli operatori hanno già il dominio affidabile, il traffico proveniente dai motori di ricerca e un toolkit capace di mantenere l’accesso ai server. L’infrastruttura è inoltre già stata replicata fuori dal Brasile. Check Point ha trovato pagine in vietnamita, spagnolo e inglese, insieme a generatori capaci di creare continuamente nuovi domini per superare blocklist e takedown. Il Brasile rappresenta quindi un mercato importante, ma non necessariamente il confine dell’operazione. Il caso Gambling Goblin mostra soprattutto che la reputazione digitale di un’istituzione pubblica è diventata un asset direttamente monetizzabile dal cybercrime. Compromettere un server governativo non serve necessariamente a rubare documenti riservati: può essere sufficiente sfruttarne dominio, ranking e fiducia per portare migliaia di utenti verso infrastrutture controllate dagli attaccanti. Quando a questa capacità vengono aggiunti backdoor modulari, furto di credenziali e pivoting, la separazione tradizionale tra frode SEO e intrusione avanzata perde significato. Un sito .gov compromesso può essere contemporaneamente una vetrina fraudolenta, un proxy invisibile e una porta aperta verso una rete pubblica.