ブラジル政府機関のApacheサーバーが悪質なモジュールで侵害、賭博サイト誘導とSEO操作に悪用

要点

• 中国語話者の脅威グループ「Gambling Goblin」が、ブラジルの政府機関や教育機関のWebサーバーに不正なApacheモジュールを組み込んでいたことが判明した。
• 侵害されたサーバーは正規ドメインの信頼性を悪用して検索順位を引き上げる大規模なSEO操作に使われ、訪問者を偽のアプリストアやオンライン賭博ページへ転送していた。
• 攻撃者は侵入先に認証情報窃取ツール「3snake」の派生版や遠隔操作トロイの木馬「oRAT」などを配備し、管理者権限の掌握を図っていた。
• 過去にアジアの賭博業界を標的にしていた脅威グループ「Earth Berberoka」との関連が指摘されており、多言語対応のフィッシング基盤も確認されている。

リード文

セキュリティ企業のCheck Point Researchは2026年9月、中国語話者のサイバー犯罪グループ「Gambling Goblin」がブラジルの政府機関や教育機関のWebサーバーを侵害し、悪意あるApacheモジュールを設置していると発表した。この活動は2025年半ばから追跡されており、侵害された高評価ドメインを利用して、訪問者を不正に転送しながら検索エンジンの順位を不正に操作する手口が確認されている。

Apacheモジュールによる転送とSEO操作の手口

Check Point Researchの報告によると、攻撃者は侵入したWebサーバー上に不正なApacheモジュール（Webサーバーの機能を拡張するプログラム）をインストールしていた。

このモジュールは、訪問者をリバースプロキシ（サーバーとクライアントの間を中継する仕組み）経由で攻撃者が管理するフィッシングページへと密かに転送する。その際、Webブラウザ上では正規の政府機関ドメインから配信されているように見え、さらに元のWebサイトが持つセキュリティヘッダーを強制的に削除することで、注入された不正なコンテンツを自由に実行させていたという。

転送先のページは、Google PlayやMicrosoft Store、Amazonといった信頼性の高い正規のアプリストアを装っており、その外見の裏でオンライン賭博やスポーツベッティングを宣伝していた。Check Point Researchは、この手口の主な狙いが大規模な検索エンジン最適化（SEO）の不正操作にあると分析している。検索エンジンから高い評価を受けているブラジル政府などのドメインを複数連携させることで、宣伝対象である賭博サイトの検索順位を意図的に押し上げていたとみられる。

多彩な不正ツール群と認証情報の窃取

攻撃者が侵害したサーバー内には、侵入を維持・拡大するための多様なツールが配備されていた。Check Point Researchが確認したツール群には以下のものが含まれる。

• DownPro: 独自に開発されたダウンローダー
• AlphaAgent: モジュール構造を持つバックドア
• oRAT: 遠隔からサーバーを不正操作するトロイの木馬（RAT）
• 3snake派生の認証情報窃盗ツール: パスワードなどの認証情報を盗み出すツール
• SSHブルートフォースツール: 総当たり攻撃でログインを試みるプログラム
• プラグイン駆動型の偵察エージェント: 内部環境を探索するツール

このうち認証情報の窃取に使われたツールは、公開されているツール「3snake」をベースにしたものだ。3snakeは、新たに立ち上がった「sshd」や「sudo」のプロセスに対して「ptrace」（プロセスの動作を追跡・制御するシステムコール）で接続し、パスワード認証に関連する文字列を抜き取る仕組みを持つ。公開ドキュメントではroot権限（最高管理者権限）を持つサーバーを標的にすることが明記されており、サーバーの管理用認証情報が攻撃者側に渡っていたことが確認されている。

なお、攻撃者がどのようにして最初の足がかりを得たかという初期侵入の手法について、Check Point Researchは直接観測していないとしている。ただし、攻撃者のサーバー上に露出していた公開ディレクトリからは、偵察やスキャン用のプラグインをまとめたGo言語製のELF形式バイナリが発見されている。

ブラジル国内の法制度と相次ぐ政府サイト侵害

ブラジルでは2023年制定の法律（Law 14,790/2023）に基づき、2025年1月1日から固定オッズ賭博のライセンス制度が開始された。正規の運営事業者はブラジルのドメイン登録機関「Registro.br」を通じて発行される「.bet.br」ドメインでの運営が義務付けられている。今回侵害されたサーバーを通じて宣伝されていた賭博サイトが、この正式な認可を受けているかどうかについてCheck Point Researchは言及していない。

一方で、ブラジルの政府系ドメインを狙った悪用は他にも報告されている。セキュリティ企業のANY.RUNは2026年7月、「PhantomEnigma」と呼ばれるキャンペーンにおいて、ブラジルの自治体や警察機関に属する少なくとも20件の「.gov.br」ポータルサイトがマルウェア配信に悪用されていたことを公表していた。ANY.RUNは当時、「これらの政府システムは配信経路の一部であり、直接の標的ではない」と指摘した上で、政府サービスへのアクセス遮断を防ぐため、「.gov.br」や「.jus.br」といった政府ドメインを一括で遮断せず、個別のインフラごとに対処すべきだと提言していた。

脅威アクターの素性と今後のリスク

Check Point Researchは、今回の攻撃クラスターを「Earth Berberoka」と呼ばれる脅威アクターに関連付けている。Earth Berberokaは、トレンドマイクロが2022年に文書化したグループであり、過去に中国語話者に帰属するマルウェアを用いてアジア全域のギャンブルサイトを標的にしていた。また、同グループに関連するLinuxバックドア「Xnote」は、2026年3月にもアジアの重要インフラに対する攻撃で観測されている。さらに、今回の攻撃で使われたoRATも、トレンドマイクロが2022年4月にEarth Berberokaのマルウェア（WindowsおよびmacOS向けバージョン0.5.1）として記録したものと一致することが確認されている。

今回の調査では、ポルトガル語圏だけでなく、ベトナム語、スペイン語、英語にローカライズされた並行するフィッシングネットワークや、新しいドメインを日々自動生成するインフラの存在も確認された。偽装ページがすでにアプリのダウンロード画面を模していることから、Check Point Researchは攻撃者が「被害者へ直接マルウェアを送り込む一歩手前の段階にある」と強い警戒を示している。

現在公開されている報告書には、被害を受けたサーバーの具体的な台数や、システム管理者が自身のApache環境を照合するためのモジュールファイル名、ファイルパス、ハッシュ値などは記載されていない。また、影響を受けた組織の具体的な名称や、侵害されたサーバーの対処が完了しているかどうかも明らかにされていない。