Gambling Goblinと呼ばれる中国語系のハッカー集団が、1年以上にわたりブラジル政府のサーバーを侵害し、これらのドメインが持つ高い信頼性を悪用して、自らのフィッシングサイトの検索エンジンランキングを引き上げていたことが分かりました。
攻撃者はリバースプロキシネットワークを構築することに重点を置いており、これによってギャンブル関連のフィッシングサイトの正当性を高め、検索エンジンでの表示順位を押し上げています。これはCheck Point Software Technologiesが新たに公開したレポートで明らかにしたものです。同グループはブラジル国内で約30台のサーバーを侵害しており、その大半は地方自治体や教育機関に属するもので、一部企業も被害に遭っています。
このサイバー犯罪グループは、侵害したサーバーにApacheモジュールやLinuxツールを展開してプロキシネットワークを構築していますが、懸念されるのは、このネットワークがマルウェアの配布や接続先ネットワークへのさらなる侵害に容易に転用されかねない点だと、Check Point SoftwareのマルウェアアナリストチームリーダーであるPedro Drimel Neto氏は指摘します。
「基本的に、彼らはこのインフラを、任意のタイミングで思い通りのものに作り変えることができます」と同氏は述べています。「インフラはすでに構築済みなので、いずれマルウェアのダウンロードに使うことすら可能になるでしょう」
ブラジルは依然として、ラテンアメリカにおいてサイバー犯罪者に人気の標的となっています。10年前には、多くの攻撃活動がバンキング型トロイの木馬に依存しており、認証情報を窃取して被害者のアカウントにログインし、資金を送金する手口が主流でした。近年ではランサムウェアやマルウェアが、侵害後のペイロードとしてより一般的になっています。例えば昨年、Trend Microの研究者らは自己拡散型トロイの木馬を発見しました。これは認証情報を窃取して資金を盗んだ後、被害者のWhatsApp上の他の連絡先にも自身を転送するというものでした。
2025年、ブラジルはオンライン賭博を合法化し、その結果ギャンブル関連の活動が急増しました。同国は現在、国民保護の強化を検討している最中です。国民はアルゴリズムによるカジノゲームの標的にされることが多く、違法な賭博サイトもサイバー犯罪者によって頻繁に宣伝されています。
中国発、ルートキット付き
Check Point Softwareの分析によると、攻撃者はアジア太平洋地域の標的に対して同様の手口を用いてきたことで知られるEarth Berberokaというグループと関連している可能性があります。同社は例えば、ベトナム語話者のユーザーを標的とする第2のネットワークも発見しました。コードやスクリプト全体を通じたコメントは中国語で書かれ、絵文字が頻繁に使われており、ツールの開発にAIが活用された可能性を示唆しています。
研究者らは、このサイバー犯罪グループが使用した初期侵入経路をまだ特定できていません。しかし、Gambling Goblinがひとたびアクセス権を得ると、被害者のサーバーを乗っ取り、ダウンローダー、複数のバックドア、認証情報窃取ツール、その他の侵害後攻撃用プログラムを含む、隠密性の高いLinuxツールキットをコンパイル・インストールします。Check Pointはルートキット用のプレースホルダーファイル名も確認していますが、分析したマルウェアサンプル中にルートキット自体は検出されなかったとしています。
分析によると、このカスタマイズされたリバースプロキシソフトウェアは、攻撃者が制御するコンテンツを侵害したWebサーバーにひそかに付加し、あたかも正規のドメインから配信されているかのように見せかけます。
レポートは次のように述べています。「このモジュールはApacheの名前変換段階で自らを登録し、受信するすべてのリクエストを、あらかじめハードコードされた少数のURLプレフィックスのいずれかに一致するかどうか検査します。一致した場合、モジュールはそのリクエストを、ソースコード内にハードコードされた対応するアップストリームサーバーへのリバースプロキシリクエストとして書き換えます。これにより、外部から見るとリクエストは正規の侵害されたドメインから発信されているように見えたまま、訪問者を静かに攻撃者のインフラへと中継します」
侵害の全容はまだ明らかになっていないと、Check Point SoftwareのNeto氏は述べています。侵害を受けたWebサーバーの多くは小規模な自治体政府に属しており、こうした組織のITチームは概して人員が限られ、専任のサイバーセキュリティ担当者を置いていないケースがほとんどです。Check PointはWebサーバーの所有者に侵害の事実を通知しましたが、あまり多くの情報は得られなかったといいます。
「これらの侵害されたWebサーバーが、政府ネットワークからどの程度切り離されているのかは分かっていません」とNeto氏は述べています。「もちろん、完全に別物で、管理者もパスワードも全く異なる可能性もありますが、同一ネットワークの一部である可能性もあります。それは分からないのです」
今後の展開に対する懸念
現時点では、Gambling Goblinグループのキャンペーンは、賭博サイトの露出を高めるためのインフラ構築に主眼が置かれています。しかし、このインフラは容易に別の目的へと転用され得るものです。Check Pointは、マルウェア配布への転用は比較的容易に行える可能性があると警告しており、さらに攻撃者がサーバーへのアクセス権を足がかりに、特に追加の特権認証情報を発見できた場合には、ネットワークの他の部分への侵入口として利用する恐れもあるとしています。
「彼らは、これらの政府機関の他の[部門の]インフラ内で使われている可能性のある認証情報を収集しているかもしれません」とNeto氏は述べています。「この点は、一部の防御側にはやや見落とされがちな部分だと私たちは考えています。単なるフィッシングだと片付けられがちですが、あのツール群を使えば、そうした認証情報を収集できてしまうのです」
過去には、ブラジルの組織は主に現地のサイバー犯罪グループに狙われる傾向がありました。同国が持つ技術環境やビジネス環境の多様性が、一種の防壁となっていたためだと、Neto氏は説明します。
「ラテンアメリカでは、現地の市場を狙う現地グループの方が多く見られました。技術の多様性、[現金化の]難しさ、そして言語の壁も障壁になっていたからです。少なくとも、AIが登場する以前は」と同氏は述べています。
しかし今、状況は変わりつつあります。中国系グループがサイバー犯罪の標的としてラテンアメリカに進出し始めている事実は、世界規模のサイバー犯罪シンジケートが急速に拡大していることを示していると同氏は言います。その背景には、AIシステムがフィッシングの誘導文やコンテンツをネイティブに翻訳できるようになったことも一因としてあるとのことです。
「彼らは他の国々を標的にする準備を進めているように見えますが、まだ実際の行動には至っていません」と同氏は述べています。「私たちは引き続きこのグループを監視し、どこまで拡大していくのか注視していく予定です」
