Weltweiter SEO-Betrug: Gambling Goblin kapert brasilianische Regierungsseiten

Eine von Check Point Research beobachtete Kampagne nutzt kompromittierte brasilianische Regierungswebsites, um Phishing- und Glücksspielinhalte zu verbreiten.

Der als „Gambling Goblin“ bezeichnete Akteur missbraucht dabei das Vertrauen in offizielle .gov.br-Domains und verwandelt gehackte Server unbemerkt in eine Infrastruktur für groß angelegte Betrugsoperationen.

Vertrauenswürdige Domains als Tarnung

Die Angreifer haben seit Mitte 2025 zahlreiche Websites brasilianischer Behörden kompromittiert. Betroffen sind Seiten auf Bundes-, Landes- und kommunaler Ebene. Auf den Servern platzieren sie Schadmodule, die den legitimen Webserver für die Besucher unbemerkt als Reverse Proxy nutzen.

Das hat einen entscheidenden Vorteil für die Täter: Wer auf eine manipulierte Seite gelangt, sieht weiterhin die bekannte Regierungsdomain im Browser. Die eigentlichen Inhalte werden jedoch von der Infrastruktur der Angreifer bereitgestellt. Auf diese Weise können die Cyberkriminellen die Reputation offizieller Websites für ihre eigenen Zwecke ausnutzen.

Pedro Drimel Neto, Teamleiter bei Check Point Research, sieht darin ein Beispiel für die zunehmende Professionalisierung von Cyberkriminalität. Die Angreifer würden nicht nur technische Tarnung einsetzen, sondern gezielt das Vertrauen missbrauchen, das Nutzer und Suchmaschinen etablierten Domains entgegenbringen.

Gefälschte App-Stores führen zu Glücksspielangeboten

Ein Schwerpunkt der Kampagne liegt auf täuschend echt gestalteten Webseiten. Diese imitieren unter anderem Google Play, den Microsoft Store und Amazon. Gefälschte Bewertungen, Rezensionen und strukturierte Metadaten sollen den Eindruck echter Plattformen verstärken.

Hinter den vermeintlichen App-Angeboten verbergen sich jedoch Inhalte für Online-Glücksspiele und Sportwetten. Die Betreiber versuchen zusätzlich, Suchmaschinen gezielt zu manipulieren. Dafür verknüpfen sie zahlreiche bereits etablierte Domains miteinander und nutzen deren vorhandene Reputation, um die Glücksspielangebote in den Suchergebnissen sichtbarer zu machen.

Besonders problematisch ist der Missbrauch brasilianischer Regierungsdomains. Eine kompromittierte .gov.br-Adresse dient nicht mehr nur als Ausgangspunkt für einen Angriff auf die jeweilige Behörde, sondern kann als Vertrauensanker für Betrugsangebote gegenüber einer deutlich größeren Zahl von Internetnutzern eingesetzt werden.

Technisch auf Skalierung ausgelegt

Hinter der Kampagne steckt nach Einschätzung der Sicherheitsforscher eine umfangreiche Linux-Infrastruktur. Nach einer erfolgreichen Kompromittierung installieren die Angreifer unter anderem einen speziell entwickelten Downloader, mehrere Backdoors, einen Credential-Stealer sowie ein Aufklärungsmodul.

Dieses Toolkit dient dazu, die kompromittierten Systeme zu kontrollieren und Informationen über erreichbare Infrastruktur zu sammeln. Eine zentrale Rolle spielen dabei manipulierte Apache-Server.

Dafür installieren die Täter eigene Apache-Module. Diese können den Datenverkehr so verändern, dass Besucher auf von den Angreifern kontrollierte Phishing-Seiten gelangen, ohne dass die fremde Zieladresse in der Browserleiste sichtbar wird. Gleichzeitig werden teilweise Sicherheits-Header des Webservers entfernt. Dadurch können eingeschleuste Skripte leichter ausgeführt werden.

Aus Sicht der Opfer bleibt damit der Eindruck bestehen, sich weiterhin auf einer bekannten und vertrauenswürdigen Website zu befinden.

Verbindung zu einer bekannten Glücksspielkampagne

Check Point Research bringt „Gambling Goblin“ mit dem bereits dokumentierten Cluster „Earth Berberoka“ in Verbindung. Dieser Akteur wurde in der Vergangenheit bei Angriffen auf Glücksspielangebote in verschiedenen asiatischen Ländern beobachtet.

Die aktuelle Kampagne deutet darauf hin, dass ein bereits länger etabliertes Geschäftsmodell der Cyberkriminalität zunehmend international ausgerichtet wird. Brasilien bildet dabei bislang einen Schwerpunkt. Gleichzeitig wurden Varianten der Infrastruktur identifiziert, die sich an vietnamesisch-, spanisch- und englischsprachige Nutzer richten.

Auch die technische Organisation spricht für eine auf Wachstum ausgelegte Operation. Die Infrastruktur erzeugt regelmäßig neue Domains und kann damit offenbar relativ schnell auf weitere Regionen und Zielgruppen angepasst werden.

Vom SEO-Betrug zur möglichen Malware-Verteilung

Der derzeitige Schwerpunkt liegt auf Glücksspielwerbung, Suchmaschinenmanipulation und der Umleitung von Nutzern. Die vorhandene Infrastruktur könnte nach Einschätzung der Forscher jedoch auch für deutlich gefährlichere Szenarien eingesetzt werden.

Da die Angreifer bereits Webseiten etablierter App-Plattformen nachahmen, wäre eine Anpassung der Kampagne ausreichend, um statt Glücksspielangeboten auch Schadsoftware oder manipulierte Anwendungen zu verbreiten. Die kompromittierten vertrauenswürdigen Domains könnten dabei erneut als Tarnung dienen.

Damit zeigt die Kampagne, wie eng klassische Betrugsmodelle inzwischen mit technisch anspruchsvollen Angriffsmethoden verbunden sein können.

Was Unternehmen und Behörden prüfen sollten

Sicherheitsverantwortliche sollten bei der Suche nach einer möglichen Kompromittierung nicht ausschließlich Endgeräte und klassische Malware-Indikatoren untersuchen. Auch die Webserver selbst können zum Angriffswerkzeug geworden sein.

Besonders relevant sind:

• Apache-Konfigurationen und installierte Module auf unerwartete Änderungen prüfen.
• Nach ungewöhnlichen .so-Dateien suchen und deren Zeitstempel mit bekannten Servermodulen vergleichen.
• Das unerwartete Fehlen von Sicherheits-Headern wie Content-Security-Policy untersuchen.
• Webserver auf Prozesse und Module kontrollieren, die nicht zur vorgesehenen Systemkonfiguration gehören.
• Die eigene Domain-Reputation als Sicherheitswert betrachten – insbesondere bei Behörden und anderen Institutionen mit stark vertrauenswürdigen Domains.

Die Kampagne macht deutlich, dass eine Website auch dann ein attraktives Angriffsziel sein kann, wenn sie selbst keine besonders kritischen Daten verarbeitet. Entscheidend kann allein die Vertrauenswürdigkeit ihrer Domain sein. Wird diese kompromittiert, lässt sie sich als Tarnung und Verteiler für Angriffe auf eine wesentlich größere Zahl von Nutzern missbrauchen.

(red/Check Point)