ブラジル政府サイトを隠れた侵入口に
CPRは、2025年半ばから継続しているこのキャンペーンを追跡してきました。Gambling Goblinは、連邦・州・自治体の公的機関が運用する「.gov.br」ドメインサイトを主体としたブラジル政府の正規ウェブサーバーを侵害しています。
侵入後、同グループは多機能で高度に難読化されたLinux用ツールキットを展開します。このツールキットには、独自のダウンローダー、複数のバックドア、認証情報窃取ツール、偵察エージェントが含まれるといいます。
攻撃の真の目的はネットワーク層にあり、同グループは侵害したサーバーに独自のApacheモジュールを組み込みます。これにより、訪問者は気づかないうちに攻撃者の管理下にあるフィッシングページへと中継されます。ブラウザのアドレスバーには外部ドメインが表示されず、サーバーのセキュリティヘッダーも無効化されるため、埋め込まれたスクリプトが制限なく実行できる状態になります。結果として、信頼性の高いサーバーが隠れた侵入口へと変えられてしまうのです。
アプリストアになりすまし、ギャンブルサイトへ誘導
フィッシングページは、人間と検索エンジンの両方を欺くよう設計されています。Google Play、Microsoft Store、Amazonになりすまし、偽の評価や構造化メタデータまで備えている点が特徴です。
ブラジルでの事例では、これらのなりすましページに並ぶアプリやナビゲーションリンクが、数多くの実在するドメインにつながっていました。その大半は、連邦・州・自治体の公的機関が運用する正規の政府サイトを示す「.gov.br」のドメインになりすますもので、攻撃者はすでに高い検索評価を持つドメインを連鎖させることで、その信頼性を借りてギャンブルコンテンツを検索の上位に表示させ、トラフィックを乗っ取っているといいます。
Gambling Goblinは、アジア各地のギャンブルサイトを標的としてきた「Earth Berberoka」というグループとの関連も確認されています。この関連性は、約10年にわたり実行されてきたギャンブル関連のサイバー犯罪の手口が、いまや新たな地域へ輸出される過程にあることを示唆しています。
組織への信頼悪用とマルウェア配布のリスク
CPRは、このキャンペーンによって、組織に対する人々の信頼を産業的な規模で悪用する動きが浮き彫りになったと指摘しています。加えて、通常はスパイ活動レベルの作戦に用いられるようなツール群が使われていることから、サイバー犯罪とAPT攻撃（持続的標的型攻撃）との境界線が曖昧になっているとも分析しています。さらに、リスクはSEO詐欺にとどまりません。フィッシングページは正規のアプリストアになりすましており、同じインフラの設定を一つ変更するだけで、悪意あるアプリを被害者に直接配布できる状態にあるといいます。このリスクは、今後の標的となる地域を問わず現実となる可能性を秘めています。
防御側が取るべき対策
CPRは、組織が取るべき対策として以下の点を挙げています。
-
Apacheの設定とインストール済みモジュールを監査し、想定外の
.soファイル、特にタイムスタンプが正規モジュールと一致するよう偽装されたファイルに注意すること。 -
特定のURLパスにおけるContent-Security-Policyヘッダーの突然の無効化など、セキュリティヘッダーの無効化を警戒すること。これはリバースプロキシ（インターネットからのアクセスを中継するサーバー）の挙動が埋め込まれたことを強く示唆しています。
-
公共機関は、
.govドメインに対する侵害が、その利用者だけでなく、その信頼が詐欺を「洗浄」する武器として悪用される可能性があるため、ドメイン評価を資産として保護すること。 -
セキュリティチームは、エンドポイント上のマルウェアに加え、正規プロセスへのなりすましや不正なApacheモジュールを積極的に探し出すこと。
ソース元
Gaming the System: How a Chinese-Speaking Actor Turned Brazilian Government Sites into an SEO Weapon
https://research.checkpoint.com/2026/gaming-the-system-how-a-chinese-speaking-actor-turned-brazilian-government-sites-into-an-seo-weapon/