Check Point Research ha descubierto una campaña global de Gambling Goblin, un grupo ciberdelincuente de habla china vinculado a Earth Berberoka (centrado en la industria del juego y las apuestas online), que se dedica a comprometer servidores Linux de organismos gubernamentales y educativos para promover apuestas ilegales y contenido malicioso.
La organización cibercriminal Gambling Goblin se dedica a transformar servidores web gubernamentales y educativos en servidores proxy inversos encubiertos para promover el 'gambling' (juego online) y la instalación de código malicioso.
El grupo ciberdelincuente, según el informe de Check Point Research, lo que busca es el secuestro y abuso de la puntuación de autoridad alta que los algoritmos de Google conceden a estos dominios. Su operativa se basa en la inyección de contenido en los servidores Linux para posicionar páginas fraudulentas en los primeros resultados de búsqueda.
Técnicamente, lo que hacen es instalar módulos dinámicos que reescriben las solicitudes HTTP entrantes y salientes y que se encargan de eliminar las cabeceras de seguridad del servidor, lo que permite la ejecución de código JavaScript malicioso, además de aplicar filtros (geolocalización e inspección de agentes de usuario) para mostrar el contenido fraudulento solo a visitantes reales (evita que los rastreadores de seguridad automáticos lo identifiquen).
Es decir, que cuando la víctima hace clic en uno de estos enlaces oficiales indexados, el servidor gubernamental se convierte en el "puente" (como una pasarela o proxy inverso) para mostrar la página de falsas descargas o apuestas, mientras que en la barra de dirección todo parece normal con la URL oficial.
Esto lleva a la confusión del usuario, además de erosionar la confianza que puede poner en las instituciones públicas cuando se encuentra ante una página de descargas falsas o apuestas 'online'.
Se trata de un refinamiento avanzado: con el kit de "ataque" que usan para tomar el control total del servidor, mantienen la infección invisible y pueden usar los servidores sin que los dueños del sitio sean conscientes de ello.
"Esta campaña representa un abuso industrializado de la confianza en los dominios públicos. La infraestructura identificada no solo promociona apuestas ilegales, sino que está a una sola modificación de configuración de ser utilizada para distribuir malware o ransomware directamente a millones de usuarios en todo el mundo", señala Check Point Research.
Por último, el grupo tiene su foco principal en servidores públicos de Brasil, aunque según la firma de ciberseguridad, "la red de distribución dispone de plantillas y páginas adaptadas a español, inglés y vietnamita".
Asimismo, Check Point Research recomienda a las administraciones públicas y empresas adoptar medidas como realizar auditorías rigurosas en los módulos de servidores web y mantener una monitorización constante de las cabeceras HTTP, además de la protección proactiva del dominio frente al enmascaramiento o la recolección de credenciales.
