「Gambling Goblin」、ブラジル政府機関サイトをSEO兵器に変える

中国語圏のサイバー犯罪集団が、ブラジルの政府機関や教育機関のウェブサイトを侵害し、2025年半ばから続く大規模なSEO詐欺キャンペーンのインフラとして悪用していることが分かりました。

Check Point Research(CPR)はこの集団を「Gambling Goblin」と命名し、2022年にTrend Microが報告した中国語圏の攻撃者集団「Earth Berberoka」と関連している可能性が中~高程度の確度であると評価しています。Earth Berberokaは、中国語話者向けのギャンブルプラットフォームを標的としていたことで知られています。

9月2日に公開された調査結果によると、両者にはツール、攻撃者特有の痕跡、インフラ面で重複が確認されました。具体的には、oRATの使用、中国語の文字列、そして信頼されるテクノロジー企業のブランド名に酷似したドメインなどが挙げられます。

CPRは今回のキャンペーンについて、ブラジル国内で発達してきた銀行系トロイの木馬から一転し、海外の攻撃者による関与へとシフトしたものだと分析しています。背景には、世界でも有数の急成長を遂げるオンライン賭博市場としてのブラジルの魅力があるとみられます。

悪意あるApacheモジュールが正規サイトをプロキシに変える

攻撃者は、リバースプロキシとして機能するカスタムApacheモジュールを設置しました。これにより、侵害したサイトを訪れた特定の訪問者を、気づかれないよう攻撃者が管理するフィッシングページへと誘導していました。

CPRによると、このモジュールは特定のURLパスを標的とし、既存のContent-Security-Policyヘッダーを削除した上で、外部スクリプトや動的に生成されたスクリプトの実行を許可する緩い設定に置き換えることができたということです。

インストーラーは被害者のサーバー上で各モジュールをコンパイルした後、ソースを削除し、生成したファイルのタイムスタンプを改ざんして正規のApacheモジュールに見せかけていました。

フィッシングページはGoogle Play、Microsoft Store、Amazonなどを装ったもので、ブラジルのユーザー向けにローカライズされ、オンラインギャンブルやスポーツベッティングを宣伝する内容でした。

侵害を受けた組織は、省庁、国の公的機関、州議会、会計検査院、州営公益事業体など、連邦・州・市町村レベルの政府機関に及んでいます。中でも市町村の行政機関が最も大きな割合を占めていました。

今回のキャンペーンは、地元報道機関、医療機関、業界団体といったブラジルの民間サイトにも影響を及ぼしています。

SEO詐欺の関連記事はこちら: 中国語圏のサイバー犯罪集団、IISサーバーをSEO詐欺に悪用

大規模なLinuxツールキットが作戦を支える

今回のウェブサーバーを狙った活動の背後には、より広範なLinuxマルウェアツールキットの存在がありました。CPRによると、そこにはダウンローダーの「DownPro」、バックドアの「AlphaAgent」や「oRAT」、3snakeをベースとした認証情報窃取ツール「PasswordHarvester」、そしてSSHブルートフォースツールが含まれていたということです。これらの大半はパッキングや仮想化レイヤーで包まれ、解析を困難にしていました。

研究者らはさらに、httpx、naabu、Nuclei、subfinderといったツールを用いる偵察エージェントも発見しました。これはインターネットに公開されたインフラをマッピングし、標的候補上で稼働するサービスを特定するためのものです。

AlphaAgentはリモートでのコマンド実行(RCE)、ファイル転送、トンネリング、ホスト探索に対応しており、oRATはリモート管理機能を提供していました。CPRは新しいバージョンのAlphaAgentにAIプラグインの実行経路を確認していますが、サンプルからはそのプラグインが具体的に何を行うのかまでは判明しなかったとしています。

このインフラはブラジル国外にも広がっていました。CPRは、ベトナム語、スペイン語、英語にローカライズされたフィッシングページに加え、日々新しいドメインを生成するシステムも発見しています。

研究者らは、フィッシングインフラがすでに正規のアプリストアを模倣していることから、今後マルウェアの直接配布へとつながる可能性があると警告しています。CPRは、Apacheおよびssh設定の監査を行い、不正なモジュールや偽装されたプロセスがないか調査するよう推奨しています。