Çince iletişim kuran bir siber suç şebekesi olan Gambling Goblin, Brezilya'daki devlet ve eğitim kurumlarına ait ele geçirilmiş web sunucularına kötü amaçlı Apache modülleri kurarken tespit edildi. Saldırganlar bu modülleri kullanarak ziyaretçileri, çevrimiçi kumar ve spor bahislerini teşvik eden kendi kontrol ettikleri sayfalara yönlendiriyor.
Check Point Research, bu siber saldırı kampanyasını 2025 yılının ortalarından bu yana takip ediyor.
Söz konusu modüller, ziyaretçileri çeşitli oltalama sayfalarına ters proxy yöntemiyle yönlendiriyor. Bu işlem sırasında trafik, sanki yasal alan adından geliyormuş gibi görünmeye devam ediyor. Sitelerin kendi güvenlik başlıkları kaldırılarak, enjekte edilen kötü amaçlı içeriğin serbestçe çalışmasına izin veriliyor.
Oltalama sayfaları; Google Play, Microsoft Store ve Amazon gibi güvenilir uygulama mağazalarıymış gibi tasarlanmış. Saldırganlar bu kılıfın arkasına saklanarak çevrimiçi kumar ve spor bahislerini dayatıyor.
Check Point'e göre asıl hedef, büyük çaplı bir arama motoru optimizasyonu (SEO) manipülasyonu. Saldırganlar, çoğu Brezilya devlet sitesi olan ve yüksek itibara sahip ele geçirilmiş alan adlarını birbirine bağlayarak arama sıralamalarını suni şekilde yükseltiyor.
ANY.RUN da Temmuz ayında, Brezilya belediyelerine ve polis teşkilatlarına ait en az 20 .gov.br portalının, kendi takip ettikleri PhantomEnigma adlı kampanyada kötü amaçlı yazılım dağıtmak için kullanıldığını bildirmişti.
ANY.RUN, 16 Temmuz'da yayımladığı raporda şu ifadelere yer verdi: "Bu devlet sistemleri doğrulanmış kampanya hedefleri değil, sadece teslimat zincirinin bir parçası."
ANY.RUN, ele geçirilen .gov.br ve .jus.br sunucularının saldırganların kontrolündeki altyapılardan ayrı olarak ele alınması gerektiğini vurguladı. Kurum, bu sitelere geniş çaplı engelleme getirilmesinin devlet kaynaklarına erişimi de sekteye uğratacağı uyarısında bulundu.
Brezilya, 14.790/2023 sayılı kanun kapsamında 1 Ocak 2025 tarihinde sabit oranlı bahis lisanslamasına başlamıştı. Ülke, operatörlere Brezilya alan adı kayıt kuruluşu Registro.br üzerinden verilen .bet.br alan adlarında faaliyet gösterme yetkisi tanımıştı.
Check Point, ele geçirilen sunucular üzerinden tanıtımı yapılan bahis sitelerinin bu yasal yetkiye sahip olup olmadığına dair herhangi bir açıklama yapmadı.
