Kyberbezpečnostní společnost Check Point upozorňuje na aktivitu skupiny Gambling Goblin, která zneužívá napadené webové servery k propagaci podvodných stránek s online hazardem. Útočníci se zaměřují na důvěryhodné domény, jejichž reputaci následně využívají k lepšímu umístění podvodného obsahu ve výsledcích vyhledávání.
Operace je aktivní od poloviny roku 2025 a podle Check Pointu souvisí také se skupinou Earth Berberoka, která v minulosti útočila na hazardní weby v Asii. Nejaktivnější je Gambling Goblin zatím v Brazílii, výzkumníci ale objevili stejné šablony také pro vietnamsky, španělsky a anglicky mluvící uživatele.
Útočníci využívají pověst důvěryhodných webů
Po průniku na server útočníci instalují skryté nástroje, které jim umožňují stahovat další malware, krást přihlašovací údaje nebo vyhledávat další cíle. Součástí útoku jsou také škodlivé doplňky pro webový server Apache.
Ty mohou návštěvníkům zobrazit podvodný obsah, aniž by se změnila adresa v prohlížeči. Uživatel tak může mít stále pocit, že se nachází na legitimním webu důvěryhodné instituce. Doplňky zároveň oslabují zabezpečení serveru, aby na něm mohl škodlivý kód běžet bez omezení.
Podvodné stránky napodobují obchody s aplikacemi
Gambling Goblin se podle Check Pointu nesoustředí pouze na samotnou propagaci hazardu. Phishingové stránky napodobují například Google Play, Microsoft Store nebo Amazon a používají smyšlená hodnocení a recenze. Ve skutečnosti ale propagují online hazardní hry a sportovní sázení.
V Brazílii skupina zneužívá skutečné weby federálních, státních i místních institucí s doménou .gov.br. Jejich dobrá pověst pomáhá podvodnému obsahu získávat vyšší pozice ve vyhledávačích a oslovovat další potenciální oběti.
Kampaň může zasáhnout i další země
Výzkumníci zároveň zaznamenali domény spojené s hazardními weby a stránkami pro dospělé zaměřenými na čínsky mluvící uživatele. Část použité síťové infrastruktury byla už dříve spojena s Earth Berberoka, což podle Check Pointu naznačuje vazby mezi oběma operacemi.
Útočníci navíc každý den vytvářejí nové domény. Check Point proto upozorňuje, že kampaň může být poměrně snadno rozšířena do dalších zemí. Podle společnosti nelze vyloučit ani budoucí zaměření na Českou republiku.
Ze spamu a hazardu může být malware
Riziko podle Check Pointu nekončí u podvodných hazardních webů. Pokud už útočníci ovládají důvěryhodný server a dokážou jeho prostřednictvím distribuovat obsah, mohou relativně snadno změnit jeho zaměření.
„Riziko přitom nemusí skončit u propagace hazardu. Podvodné stránky už nyní napodobují známé obchody s aplikacemi,“ upozorňuje Pavel Krejčí, Security Engineer společnosti Check Point Software Technologies. Podle něj by stejná infrastruktura mohla být po změně nastavení využita k šíření škodlivých aplikací.
Kontrolovat je potřeba i webové servery
Check Point doporučuje organizacím sledovat neobvyklé změny v zabezpečení webu, například náhlé vypnutí některých ochranných prvků nebo zobrazování odlišného obsahu na vybraných stránkách.
Bezpečnostní týmy by podle společnosti neměly kontrolovat pouze počítače zaměstnanců, ale také samotné webové servery. Pozornost si zaslouží především neznámé programy a škodlivé doplňky, které se mohou vydávat za běžnou součást systému.
Zdroj: Check Point
