Desde mediados de 2025, sitios web del gobierno y organizaciones educativas de Brasil han sido comprometidos para servir como puertas de enlace hacia páginas de phishing. En lugar de redirigir a las víctimas a sitios fraudulentos evidentes, los atacantes utilizan servidores web comprometidos y un kit de herramientas de Linux para que el contenido malicioso parezca legítimo al estar alojado en dominios públicos de confianza.

Los sitios web del gobierno brasileño han sido convertidos discretamente en puertas de enlace para páginas de phishing en dominios públicos confiables. En lugar de enviar a las víctimas a sitios de estafa obvios, los atacantes están utilizando servidores web comprometidos para hacer que el contenido fraudulento parezca legítimo de inmediato.

La campaña ha tenido como objetivo organizaciones gubernamentales y educativas brasileñas desde mediados de 2025. Los operadores despliegan un kit de herramientas de Linux tras ganar acceso, y utilizan sitios secuestrados para promocionar páginas de apuestas disfrazadas de servicios de descarga de aplicaciones.

Investigadores de Check Point identificaron la actividad como obra de Gambling Goblin, un grupo de ciberdelincuencia de habla china vinculado con una confianza media-alta a Earth Berberoka.

Check Point afirmó en un informe que el descubrimiento señala un cambio brusco en el panorama de Brasil, pasando de troyanos bancarios mayoritariamente nacionales a un grupo extranjero que explota la confianza en el sector público.

Los dominios confiables pueden impulsar páginas maliciosas en los resultados de búsqueda, dirigir a los visitantes hacia tiendas falsas y hacer que el fraude parezca oficial. Los investigadores también encontraron plantillas similares en vietnamita, español e inglés, lo que sugiere una operación diseñada para expandirse.

Módulos de Apache Maliciosos

La herramienta clave de los atacantes es un módulo de Apache personalizado compilado directamente en un servidor infectado. Un instalador de Bash verifica el sistema operativo, instala los paquetes de desarrollo de Apache necesarios, recupera el código fuente en C y utiliza las propias herramientas de Apache para construir y activar el módulo.

Para evitar dar la alarma, el instalador elimina los archivos de fuente y de construcción después del despliegue. Luego, cambia las marcas de tiempo en el objeto compartido malicioso y en los archivos de configuración para que se parezcan a componentes ordinarios de Apache. Esto hace que una revisión rápida del servidor tenga menos probabilidades de exponer la intrusión.

Un módulo vigila rutas de solicitud seleccionadas y las retransmite silenciosamente a la infraestructura del atacante. Los visitantes permanecen en un dominio gubernamental genuino pero reciben contenido de phishing remoto. También elimina las restricciones de seguridad de contenido del navegador, permitiendo que se carguen scripts inyectados y activos externos.

Un segundo módulo puede inspeccionar la ruta, el referente, los detalles del navegador y la dirección del cliente antes de decidir qué contenido mostrar.

Puede insertar material remoto en una respuesta web, permitiendo el ocultamiento selectivo y la manipulación de búsquedas. Abusos similares de dominios oficiales han aparecido en campañas de phishing en sitios web gubernamentales, donde la reputación del dominio ayuda a que las páginas criminales parezcan seguras.

Las páginas observadas en esta campaña imitan destinos de descarga al estilo de Google Play, Microsoft Store y Amazon. Calificaciones y datos de página fabricados ayudan a que luzcan convincentes, mientras que el modelo de negocio real parece ser la promoción de juegos de azar.

Un kit de herramientas creado para el alcance y la evasión

Los investigadores no observaron directamente la intrusión inicial, pero descubrieron un agente de escaneo llamado cam-agent en infraestructura expuesta. Este utiliza herramientas de reconocimiento para mapear sistemas orientados a internet, lo que permite identificar propiedades web confiables que valga la pena abusar.

Una vez dentro, el grupo puede usar DownPro para obtener más cargas útiles, incluyendo el backdoor ChUser, una herramienta de recolección de contraseñas, AlphaAgent, oRAT y una utilidad de prueba de credenciales SSH.

Varias herramientas utilizan disfraces, cifrado y desempaquetado solo en memoria, imitando tácticas vistas en ataques de RAT de Linux dirigidos a desarrolladores.

AlphaAgent puede ejecutar comandos, mover archivos, crear túneles, recolectar claves SSH e historial de shell, y ocultarse bajo nombres de servicios del sistema. oRAT puede establecer persistencia a través de un servicio que imita un componente legítimo de firewall.

Estas funciones apoyan el robo de credenciales, el movimiento interno en las redes y el acceso a largo plazo. La infraestructura también crea nuevos dominios diariamente para reemplazar las ubicaciones bloqueadas.

El informe conecta sus herramientas, artefactos en idioma chino, enfoque en juegos de azar y comportamiento de dominios similares a Earth Berberoka. Si sigues este patrón, puedes compararlo con la entrega de malware a través del gobierno brasileño y la clonación de sitios de phishing impulsada por IA.

Los administradores del sector público y educativo deben parchear urgentemente los servicios expuestos, revisar los módulos de Apache y los cambios de configuración, y auditar el acceso SSH en busca de credenciales débiles o intentos de inicio de sesión inusuales.

Deben investigar librerías desconocidas, marcas de tiempo alteradas, reglas de proxy y procesos disfrazados. Los administradores deben comparar los módulos cargados con las líneas base aprobadas y verificar que cada regla de proxy inverso soporte una aplicación legítima.

Tus equipos deben preservar los registros antes de la limpieza, restablecer las credenciales expuestas e inspeccionar los sistemas cercanos en su entorno en busca de herramientas relacionadas.

La campaña inmediata se centra en el fraude de búsqueda y el tráfico de juegos de azar, pero sus páginas falsas de tiendas de aplicaciones podrían entregar fácilmente malware.

Las organizaciones deben tratar un dominio confiable como una posible víctima, no como una prueba automática de que una página es segura, y monitorear los servidores públicos en consecuencia.

Fuentes:
https://cybersecuritynews.com/malicious-apache-modules/