Çin dilini kullanan bir grup, kumar temalı sitelerle ters vekil ağı oluşturmak için hükümet ve eğitim sitelerini ele geçiriyor.
Bir yıldan uzun süredir Çin dilini kullanan Gambling Goblin grubu Brezilya hükümet sunucularını ele geçiriyor ve alan adlarının yüksek itibarını kullanarak grubun oltalama sitelerinin arama motoru sıralamasını yükseltiyor.
Saldırılar, kumar odaklı oltalama sitelerinin meşruiyetini artırmak ve arama motorlarındaki sıralamalarını yükseltmek için ters vekil ağı oluşturmaya odaklanıyor. Check Point Software Technologies’in yeni raporuna göre grup Brezilya’da yaklaşık 30 sunucu ele geçirdi; bunların çoğu yerel yönetimlere ve eğitim kuruluşlarına ait, bir avuç şirket de etkilendi.
Siber suç grubu, vekil ağı kurmak için ele geçirilen sunuculara Apache modülleri ve Linux araçları yerleştiriyor. Check Point Software’da kötü amaçlı yazılım analisti ekip lideri Pedro Drimel Neto, ağın kolayca kötü amaçlı yazılım yaymak veya bağlı ağları daha fazla tehlikeye atmak için kullanılabileceği uyarısında bulunuyor.
“Esasen bu altyapıyı istedikleri her an istedikleri şeye çevirebilirler” dedi. “Altyapı zaten oluşturulduğu için bir noktada kötü amaçlı yazılım indirmesine de izin verebilirler.”
Brezilya Latin Amerika’da siber suçlular için popüler bir hedef olmaya devam ediyor. On yıl önce birçok operasyon kimlik bilgisi çalan, mağdurların hesaplarına giren ve para transfer eden bankacılık Truva atlarına dayanıyordu. Son yıllarda fidye yazılımı ve kötü amaçlı yazılım, ele geçirme sonrası yük olarak daha popüler hale geldi. Geçen yıl örneğin Trend Micro araştırmacıları kimlik bilgilerini ele geçirip para çalan ve ardından kendisini WhatsApp’ta mağdurun diğer kişilerine gönderen kendi kendini yayan bir Truva atı keşfetti.
2025’te Brezilya çevrimiçi bahsi yasallaştırdı ve bu durum kumar faaliyetlerinde artışa yol açtı. Ülke, algoritmik kumar oyunlarıyla sık sık hedef alınan vatandaşlar için koruma güçlendirmeyi değerlendiriyor; ancak yasa dışı kumar siteleri genellikle siber suçlular tarafından tanıtılıyor.
Çin’den, rootkit’lerle
Saldırganların, Asya-Pasifik bölgesindeki hedeflere benzer taktikler kullanan tanınmış Earth Berberoka grubuyla bağlantılı olduğu görünüyor. Check Point Software’ın analizine göre şirket, örneğin Vietnamca konuşan kullanıcılara odaklanan ikinci bir ağ da buldu. Kod ve komut dosyalarındaki yorumlar Çinceydi ve sık sık emoji içeriyordu; bu durum araçların yapay zekâ destekli geliştirildiğini düşündürüyor.
Araştırmacılar siber suç grubunun ilk erişim vektörünü henüz tespit edemedi. Gambling Goblin erişim sağladığında ise mağdur sunucularını ele geçirip gizli bir Linux araç seti derleyip kuruyor; bu set bir indirici, birden fazla arka kapı, kimlik bilgisi çalanlar ve diğer ele geçirme sonrası saldırgan programları içeriyor. Check Point rootkit’ler için yer tutucu dosya adları da gözlemledi ancak analiz ettiği kötü amaçlı yazılım örneklerinde herhangi bir rootkit tespit etmedi.
Özel ters vekil yazılımı, saldırgan kontrollü içeriği ele geçirilen bir web sunucusuna gizlice ekleyerek içeriğin meşru bir alandan geliyormuş gibi görünmesini sağlıyor.
Rapor şöyle belirtiyor: “Modül kendini Apache’nin ad çevirme aşamasında kaydeder ve gelen her isteği küçük bir dizi sabit URL öneki için denetler. Bir istek eşleştiğinde modül isteği, kaynak koduna sabitlenmiş karşılık gelen bir yukarı akış sunucusuna ters vekil isteğine yeniden yazar; ziyaretçiyi sessizce saldırgan altyapıya yönlendirirken istek dış dünyaya hâlâ meşru ele geçirilen alandan geliyormuş gibi görünür.”
Ele geçirme boyutunun hâlâ net olmadığı belirtiliyor. Birçok web sunucusu sınırlı BT ekipleri olan ve nadiren özel bir siber güvenlik uzmanı bulunan küçük belediye yönetimlerine ait. Check Point web sunucusu sahiplerini ele geçirmeler konusunda bilgilendirdi ancak fazla bilgi alamadı.
“Ele geçirilen web sunucularının hükümet ağlarından ne kadar ayrı olduğunu bilmiyoruz” diye konuştu Neto. “Elbette tamamen ayrı olabilirler, farklı yöneticileri, farklı şifreleri olabilir, ama aynı ağın parçası da olabilir. Bilmiyoruz.”
Sonraki adımlar endişe yaratıyor
Şu anda Gambling Goblin grubunun kampanyası kumar sitelerinin görünürlüğünü artırmak için altyapı oluşturmaya odaklı. Ancak altyapı kolayca farklı amaçlarla yeniden görevlendirilebilir. Check Point, kötü amaçlı yazılım dağıtımının oldukça basit olabileceği konusunda uyardı; saldırganların sunuculara erişimi, ek ayrıcalıklı kimlik bilgileri bulunabilirse geri kalan ağa atlama noktası olabilir.
“Bu hükümet kurumlarının altyapısının diğer bölümlerinde potansiyel olarak kullanılan kimlik bilgilerini toplayabilirler” dedi Neto. “Bazı savunma oyuncularının biraz gözden kaçırdığını düşündüğümüz kısım bu — yani sadece oltalama gibi görünüyor, ancak bu araçlarla kimlik bilgilerini toplayabilirler.”
Geçmişte Brezilya’daki kuruluşlar çoğunlukla yerel siber suç grupları tarafından hedefleniyordu; çünkü ülke heterojen teknoloji ve iş ortamından faydalanıyordu.
“Latin Amerika’da daha çok yerel grupların yerel pazarları hedeflediğini gördünüz; çünkü farklı teknolojilerin karışımı, para aklamanın zorluğu ve dil de bir engel olabiliyordu — en azından yapay zekâdan önce” dedi.
Artık manzara değişti. Çinli grupların Latin Amerika’yı siber suç için hedeflemeye başlaması, küresel siber suç sendikalarının hızla büyüdüğünü gösteriyor; bu büyümede yapay zekâ sistemlerinin oltalama yemlerini ve içeriğini yerel dile çevirme yeteneği yardımcı oluyor.
“Bize göre diğer ülkelere yönelik hedeflenmeye hazırlanıyorlar gibi görünüyor, ancak pratikte henüz bir şey yok” dedi. “Bu grubu hâlâ izliyoruz ve ne kadar ileri gideceklerini görüyoruz.”
