Un grupo de ciberdelincuentes de habla china está utilizando páginas web de organismos públicos brasileños comprometidas para manipular los resultados de los buscadores y promocionar plataformas de apuestas y falsas tiendas de aplicaciones. La campaña, detectada por Check Point Research, permanece activa al menos desde mediados de 2025 y también presenta indicios de estar expandiéndose a otros países.
Los investigadores han bautizado al grupo como Gambling Goblin y lo relacionan con Earth Berberoka, un actor conocido anteriormente por sus ataques contra plataformas de juego online dirigidas a usuarios asiáticos. Su llegada a Brasil supone un cambio respecto a las amenazas financieras tradicionalmente observadas en el país, habitualmente asociadas a grupos locales especializados en troyanos bancarios.
El objetivo de la operación no consiste únicamente en comprometer servidores. Los atacantes aprovechan la reputación y autoridad de dominios legítimos, especialmente páginas .gov.br, para posicionar contenido fraudulento en los motores de búsqueda y atraer tráfico hacia páginas relacionadas con apuestas deportivas y juegos online.
Webs gubernamentales convertidas en proxies
Una de las características más llamativas de la campaña es la utilización de módulos maliciosos de Apache instalados en los servidores comprometidos.
Estos componentes permiten que determinadas direcciones dentro de una web legítima funcionen como un proxy inverso hacia infraestructura controlada por los atacantes. De esta manera, el usuario puede visualizar contenido fraudulento mientras aparentemente continúa navegando dentro del dominio legítimo que ha visitado.
Los atacantes también modifican las políticas de seguridad de contenido del servidor para facilitar la ejecución de scripts externos. El resultado es que una página con buena reputación puede actuar como una puerta de entrada encubierta hacia contenidos gestionados por los ciberdelincuentes.
Check Point descubrió páginas fraudulentas que imitaban plataformas conocidas de distribución de aplicaciones, entre ellas Google Play, Microsoft Store y Amazon. Para aumentar su credibilidad, incorporaban falsas valoraciones, reseñas y otros elementos diseñados para ofrecer una apariencia legítima.
Dominios .gov.br utilizados para posicionar apuestas
La investigación reveló que numerosos enlaces de estas páginas conducían a dominios brasileños reales comprometidos, muchos pertenecientes a instituciones gubernamentales.
Entre las víctimas identificadas se encuentran organismos de diferentes niveles de la Administración brasileña: un ministerio y una agencia pública nacional, organismos estatales, tribunales de cuentas, una empresa pública y numerosas administraciones municipales. También fueron detectados algunos dominios comerciales pertenecientes a medios locales, clínicas y asociaciones empresariales.
Los atacantes alojan o muestran sus contenidos bajo rutas específicas de estos dominios legítimos. Esto les permite aprovechar la autoridad que los buscadores conceden a páginas institucionales para intentar mejorar artificialmente el posicionamiento de sus propias páginas.
La operación constituye así una forma de fraude SEO a gran escala: en lugar de crear únicamente dominios fraudulentos desde cero, Gambling Goblin aprovecha la reputación acumulada por páginas legítimas para impulsar sus contenidos y captar usuarios procedentes de los buscadores.
Un amplio arsenal de malware para Linux
La infraestructura utilizada para manipular los resultados de búsqueda está respaldada por un arsenal considerable de herramientas dirigidas contra servidores Linux.
Check Point identificó un descargador denominado DownPro, diferentes puertas traseras, un ladrón de credenciales basado en 3snake, herramientas para ataques de fuerza bruta contra SSH y diferentes scripts destinados al reconocimiento de los sistemas comprometidos. Gran parte del código está fuertemente ofuscado para dificultar su análisis y detección.
Entre las herramientas más avanzadas aparece AlphaAgent, una puerta trasera modular desarrollada en Go que permite mantener el acceso al sistema comprometido y ejecutar diferentes acciones de forma remota.
El malware puede ejecutar comandos, transferir archivos, crear proxies y túneles para desplazarse por una red, recopilar información del sistema y obtener datos relacionados con conexiones SSH. Además, incorpora diferentes técnicas para camuflar su actividad entre procesos legítimos.
AlphaAgent puede incluso disfrazar sus comunicaciones para que parezcan tráfico legítimo relacionado con servicios de Google o Cloudflare y cifra los mensajes enviados dentro de conexiones TLS. También dispone de mecanismos para utilizar DNS como canal alternativo de comunicación con su infraestructura de mando y control.
Los investigadores encontraron además en una versión reciente una función para ejecutar plugins de inteligencia artificial. Por el momento, las evidencias se limitan a referencias internas encontradas en el código, por lo que Check Point no ha determinado exactamente qué finalidad tiene esta capacidad.
