Pesquisadores da Check Point Research identificaram uma operação cibernética conduzida por um grupo de língua chinesa que compromete servidores de órgãos públicos federais, estaduais e municipais do Brasil. Batizado de Gambling Goblin, o grupo utiliza a reputação de domínios [.gov.br] para alimentar uma rede global de fraudes de apostas online e esportivas, direcionando usuários a páginas falsas que simulam plataformas como Google Play, Microsoft Store e Amazon.
Monitorada desde meados de 2025, a campanha reflete uma mudança tática: em vez de criar domínios próprios, os atacantes invadem infraestruturas legítimas com alta reputação para ocultar páginas maliciosas. No Brasil, dezenas de sites foram afetados, incluindo ministérios, agências federais, assembleias legislativas, tribunais de contas e prefeituras, além de veículos de imprensa e empresas privadas.
A infraestrutura utiliza páginas em português do Brasil que imitam lojas oficiais de aplicativos, exibindo avaliações e comentários falsos para enganar usuários e mecanismos de busca. O objetivo principal é promover apostas online. Ao explorar a relevância técnica e a credibilidade dos domínios governamentais, o grupo manipula os resultados de pesquisa do Google para maximizar o alcance das fraudes.
Embora o Brasil seja o principal alvo atual, a CPR identificou páginas idênticas adaptadas para vietnamita, espanhol e inglês, além de um sistema automatizado que gera novos domínios diariamente para evitar bloqueios. O Gambling Goblin possui conexões com o cluster Earth Berberoka, historicamente associado a ataques contra o setor de apostas na Ásia.
Para os especialistas da CPR, o maior risco reside na versatilidade da infraestrutura. Como as páginas já simulam lojas de aplicativos, uma simples alteração na configuração permitiria a distribuição direta de malwares. O grupo utiliza ferramentas sofisticadas para Linux, mecanismos de acesso remoto e módulos personalizados no servidor Apache, que redirecionam o tráfego sem que o usuário perceba a fraude.
Diante do cenário, a Check Point recomenda que as organizações e órgãos públicos auditem módulos do Apache, revisem configurações de SSH e monitorem processos não autorizados em servidores expostos. A operação evidencia a consolidação do mercado brasileiro de apostas na mira de grupos cibercriminosos internacionais, reforçando que a reputação de um domínio oficial deve ser tratada como um ativo crítico de Segurança.
