Uma sofisticada operação de cibercrime está utilizando sites legítimos do governo brasileiro como infraestrutura para promover apostas online e manipular resultados de mecanismos de busca. A campanha é atribuída a um grupo de língua chinesa que pesquisadores batizaram de Gambling Goblin.
A operação foi revelada pela Check Point Research e é monitorada desde meados de 2025. Os alvos são principalmente organizações brasileiras, com destaque para órgãos governamentais e instituições educacionais.
A informação apresentada na imagem está correta em essência, mas existe uma precisão importante: os pesquisadores classificam o Gambling Goblin como um grupo de língua chinesa, com indícios técnicos que o relacionam a uma operação anteriormente associada ao ecossistema de cibercrime chinês. Isso não significa, por si só, que os integrantes tenham sido identificados individualmente ou que exista envolvimento do governo da China.
Sites .gov.br foram transformados em proxies clandestinos
A técnica utilizada chama atenção porque os criminosos não precisam necessariamente substituir a página principal do órgão público.
Depois de comprometer um servidor Linux, os invasores instalam módulos maliciosos diretamente no Apache, um dos servidores web mais utilizados no mundo.
Esses módulos conseguem interceptar determinadas solicitações feitas ao site e encaminhá-las silenciosamente para servidores controlados pelos criminosos.
Para o visitante — e principalmente para mecanismos de busca — o conteúdo continua parecendo estar hospedado dentro do domínio legítimo.
É justamente aí que está o valor do ataque.
Um endereço terminado em .gov.br possui reputação muito superior à de um domínio desconhecido criado recentemente por criminosos.
Governo federal, estados e municípios aparecem entre os alvos
A investigação identificou domínios comprometidos pertencentes a instituições de diferentes níveis da administração pública brasileira.
Entre eles aparecem estruturas ligadas ao governo federal, administrações estaduais e prefeituras, além de órgãos públicos e outras instituições.
Os pesquisadores evitaram divulgar publicamente a relação completa de vítimas, o que ajuda a reduzir riscos enquanto as organizações trabalham na correção dos sistemas.
O estudo também encontrou sites comerciais brasileiros comprometidos, incluindo páginas relacionadas a veículos de comunicação locais, clínicas e associações empresariais.
Isso indica que o ataque não está limitado exclusivamente ao setor público.
Criminosos exploram a reputação dos sites no Google e outros buscadores
O principal objetivo identificado é uma modalidade de fraude conhecida como SEO poisoning, ou envenenamento de mecanismos de busca.
Em vez de depender apenas de anúncios ou mensagens fraudulentas para encontrar vítimas, os criminosos tentam fazer suas páginas aparecerem entre os primeiros resultados das pesquisas.
Para conseguir isso, utilizam domínios legítimos e com alta reputação.
Um site governamental comprometido pode funcionar como uma espécie de “aval digital” para o mecanismo de busca.
Ao conectar diversos desses endereços em uma rede, os criminosos conseguem aumentar artificialmente a relevância das páginas que desejam promover.
O objetivo final é capturar tráfego de usuários interessados em jogos e apostas esportivas.
Páginas falsas imitam Google Play, Microsoft Store e Amazon
A infraestrutura descoberta vai além de simples páginas de apostas.
Os pesquisadores encontraram páginas que simulam plataformas conhecidas, incluindo Google Play, Microsoft Store e Amazon.
Elas apresentam avaliações falsas, número de reviews e elementos gráficos destinados a transmitir aparência de legitimidade.
Por trás dessa fachada aparecem ofertas relacionadas a cassinos online, jogos e apostas esportivas voltadas ao público brasileiro.
Algumas páginas utilizavam inclusive recursos legítimos das plataformas que imitavam, tornando a aparência ainda mais convincente.
Ataque pode evoluir para distribuição de malware
Esse é um dos pontos mais preocupantes da investigação.
Até agora, a principal finalidade observada está relacionada a fraude de SEO e promoção de apostas.
Mas a infraestrutura construída pelo Gambling Goblin poderia ser modificada para entregar arquivos maliciosos.
Como as páginas já simulam lojas utilizadas para baixar aplicativos, os criminosos estão tecnicamente muito próximos de conseguir apresentar um falso botão de download e distribuir malware diretamente aos visitantes.
Uma mudança de configuração poderia transformar uma campanha de manipulação de buscas em uma operação de distribuição de programas maliciosos utilizando domínios governamentais legítimos como fachada.
Arsenal inclui backdoors, RAT e roubo de credenciais
A invasão dos servidores também revelou um conjunto considerável de ferramentas.
Entre os componentes identificados estão o downloader DownPro, diferentes backdoors, o agente modular AlphaAgent, o trojan de acesso remoto oRAT, ferramentas para roubo de credenciais e sistemas automatizados para ataques contra SSH.
Grande parte desse arsenal utiliza técnicas de ofuscação destinadas a dificultar a análise por pesquisadores e soluções de segurança.
Os criminosos também conseguem mapear automaticamente os servidores comprometidos, identificando domínios hospedados, diretórios, configurações do Apache e Nginx e regras de proxy.
Na prática, depois de entrar em uma máquina, o grupo procura descobrir quais outros sites legítimos podem ser transformados em infraestrutura para a operação.
Tráfego malicioso tenta parecer legítimo
Outra característica mostra o nível de preocupação dos criminosos em permanecer invisíveis.
Determinadas ferramentas tentam imitar características de conexões legítimas utilizadas por navegadores.
Há ainda mecanismos que utilizam referências a serviços conhecidos como Google e Cloudflare para fazer comunicações maliciosas parecerem tráfego comum.
Informações transmitidas também podem receber uma camada adicional de criptografia mesmo quando já estão dentro de conexões TLS.
O objetivo é dificultar a identificação do comando e controle por sistemas de monitoramento de rede.
Quem é o Gambling Goblin?
A Check Point avalia com confiança de média a alta que o Gambling Goblin possui ligação com o grupo conhecido como Earth Berberoka.
O Earth Berberoka foi documentado anteriormente em campanhas contra o setor de apostas online na Ásia e já utilizou ferramentas encontradas na nova operação.
A associação considera diferentes elementos, incluindo malware, infraestrutura, artefatos deixados pelos operadores e características do desenvolvimento das ferramentas.
Comentários e mensagens em chinês encontrados no código também reforçam a avaliação de que se trata de uma operação conduzida por pessoas de língua chinesa.
Mas essa atribuição deve ser interpretada corretamente: não existe evidência apresentada na pesquisa de que seja uma operação patrocinada pelo Estado chinês. O objetivo observado é predominantemente financeiro.
Brasil virou um alvo atraente para o cibercrime de apostas
A escolha do Brasil não parece aleatória.
A expansão das apostas esportivas transformou o país em um mercado extremamente relevante para empresas e também para operações criminosas interessadas nesse público.
Ao mesmo tempo, existe uma enorme quantidade de servidores públicos espalhados por municípios, estados, universidades e diferentes órgãos.
Infraestruturas desatualizadas, serviços expostos à internet e credenciais SSH fracas podem oferecer oportunidades para invasores.
O Gambling Goblin encontrou uma forma de monetizar justamente uma característica valiosa desses servidores: a confiança associada aos seus domínios.
Operação já aparece fora do Brasil
A investigação encontrou evidências de que a mesma estratégia está sendo preparada para outros mercados.
Páginas semelhantes foram identificadas em vietnamita, espanhol e inglês, enquanto a infraestrutura dos criminosos possui mecanismos capazes de gerar novos domínios diariamente.
Isso indica uma operação projetada para funcionar em grande escala.
O Brasil pode ser hoje um dos principais alvos, mas o modelo pode ser replicado em outros países.
O ataque rouba algo além de dados: a confiança
A campanha do Gambling Goblin revela uma mudança interessante na forma como infraestruturas comprometidas podem ser exploradas.
Nem toda invasão precisa terminar imediatamente em ransomware ou vazamento de informações.
Neste caso, um dos ativos mais valiosos roubados é a reputação digital do próprio domínio.
Um endereço governamental existe há anos, recebe links de outras páginas legítimas e possui histórico nos mecanismos de busca. Tudo isso representa autoridade para sistemas responsáveis por organizar os resultados apresentados aos usuários.
Ao comprometer essa infraestrutura, criminosos passam a utilizar essa confiança acumulada para beneficiar páginas fraudulentas.
É uma espécie de sequestro de reputação.
E existe um risco ainda maior: a mesma infraestrutura que hoje direciona brasileiros para páginas de apostas pode, com poucas alterações, começar a distribuir malware.
Por isso, o Gambling Goblin não representa apenas mais uma campanha de spam ou manipulação de Google. O grupo conseguiu transformar servidores legítimos do poder público brasileiro em peças de uma infraestrutura internacional de cibercrime.
