Thomas James Hurst / Zuma Press / Europa Press
MADRID 14 set. (Portaltic/EP) -
A Check Point Research descobriu uma campanha global do Gambling Goblin, um grupo cibercriminoso de língua chinesa ligado ao Earth Berberoka (focado no setor de jogos e apostas online), que se dedica a invadir servidores Linux de órgãos governamentais e instituições de ensino para promover apostas ilegais e conteúdo malicioso.
A organização cibercriminosa Gambling Goblin se dedica a transformar servidores web governamentais e educacionais em servidores proxy reversos disfarçados para promover o “gambling” (jogos online) e a instalação de código malicioso.
De acordo com o relatório da Check Point Research, o grupo cibercriminoso busca sequestrar e abusar da alta pontuação de autoridade que os algoritmos do Google atribuem a esses domínios. Sua operação se baseia na injeção de conteúdo em servidores Linux para posicionar páginas fraudulentas nos primeiros resultados de busca.
Tecnicamente, o que eles fazem é instalar módulos dinâmicos que reescrevem as solicitações HTTP de entrada e saída e se encarregam de remover os cabeçalhos de segurança do servidor, o que permite a execução de código JavaScript malicioso, além de aplicar filtros (geolocalização e inspeção de agentes de usuário) para exibir o conteúdo fraudulento apenas a visitantes reais (evitando que rastreadores de segurança automáticos o identifiquem).
Ou seja, quando a vítima clica em um desses links oficiais indexados, o servidor governamental se torna a “ponte” (como um gateway ou proxy reverso) para exibir a página de downloads falsos ou apostas, enquanto na barra de endereço tudo parece normal com a URL oficial.
Isso gera confusão no usuário, além de minar a confiança que ele pode depositar nas instituições públicas ao se deparar com uma página de downloads falsos ou apostas “online”.
Trata-se de um refinamento avançado: com o kit de “ataque” que utilizam para assumir o controle total do servidor, eles mantêm a infecção invisível e podem usar os servidores sem que os proprietários do site tenham conhecimento disso.
“Essa campanha representa um abuso industrializado da confiança nos domínios públicos. A infraestrutura identificada não apenas promove apostas ilegais, mas está a apenas uma alteração de configuração de ser utilizada para distribuir malware ou ransomware diretamente a milhões de usuários em todo o mundo”, destaca a Check Point Research.
Por fim, o grupo tem como foco principal servidores públicos do Brasil, embora, segundo a empresa de segurança cibernética, “a rede de distribuição disponha de modelos e páginas adaptadas ao espanhol, inglês e vietnamita”.
Da mesma forma, a Check Point Research recomenda que as administrações públicas e as empresas adotem medidas como a realização de auditorias rigorosas nos módulos dos servidores web e a manutenção de um monitoramento constante dos cabeçalhos HTTP, além da proteção proativa do domínio contra o mascaramento ou a coleta de credenciais.
Esta notícia foi traduzida por um tradutor automático