Unos módulos maliciosos de Apache desvían el tráfico de la web del Gobierno brasileño para redirigirlo a páginas de apuestas

Un grupo de ci­ber­de­lin­cuen­tes que habla chino, iden­ti­fi­ca­do como Gam­bling Go­blin y vin­cu­la­do con Earth Ber­be­ro­ka, ha es­ta­do co­lo­can­do mó­du­los ma­li­cio­sos de Apa­che en ser­vi­do­res web vul­ne­ra­dos per­te­ne­cien­tes a ins­ti­tu­cio­nes edu­ca­ti­vas y gu­ber­na­men­ta­les de Bra­sil. Su fi­na­li­dad es des­viar a los usua­rios hacia pá­gi­nas con­tro­la­das por los ata­can­tes que pro­mo­cio­nan apues­tas de­por­ti­vas y jue­gos de azar en línea, uti­li­zan­do una téc­ni­ca de proxy in­ver­so que ocul­ta el des­vío mien­tras eli­mi­na los en­ca­be­za­dos de se­gu­ri­dad de los si­tios le­gí­ti­mos.

Estas pá­gi­nas frau­du­len­tas imi­tan tien­das de apli­ca­cio­nes co­no­ci­das como Goo­gle Play, Mi­cro­soft Store y Ama­zon, con el pro­pó­si­to apa­ren­te de ma­ni­pu­lar los mo­to­res de bús­que­da a gran es­ca­la me­dian­te el uso de do­mi­nios gu­ber­na­men­ta­les con alta repu­tación. Para lle­var a cabo sus ope­ra­cio­nes en los equi­pos in­fec­ta­dos, los ata­can­tes des­plie­gan di­ver­sas he­rra­mien­tas y pro­gra­mas ma­li­cio­sos que in­clu­yen un des­car­ga­dor per­so­na­li­za­do lla­ma­do Down­Pro, un back­door mo­du­lar co­no­ci­do como AlphaA­gent, un tro­yano de ac­ce­so re­mo­to oRAT, un roba cre­den­cia­les ba­sa­do en 3snake, un ata­can­te por fuer­za bruta para SSH y un agen­te de re­co­no­ci­mien­to ac­cio­na­do por plu­gins.

La cam­pa­ña com­par­te si­mi­li­tu­des con otras ac­ti­vi­da­des ma­li­cio­sas di­ri­gi­das a ser­vi­do­res web, como el uso de mó­du­los na­ti­vos para rea­li­zar frau­des de op­ti­mi­za­ción en mo­to­res de bús­que­da en­fo­ca­dos en si­tios de apues­tas. Aun­que se han de­tec­ta­do redes de su­plan­ta­ción de iden­ti­dad en otros idio­mas y do­mi­nios ge­ne­ra­dos dia­ria­men­te, el ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre el nú­me­ro total de ser­vi­do­res afec­ta­dos, los nom­bres es­pe­cí­fi­cos de los ar­chi­vos de los mó­du­los ma­li­cio­sos, las rutas de ins­ta­la­ción ni los hashes ne­ce­sa­rios para que los ad­mi­nis­tra­do­res pue­dan ve­ri­fi­car sus pro­pias ins­tan­cias de Apa­che.