SEO-Betrug
Gambling Goblin missbraucht Regierungswebsites als SEO-Waffe
Chinesische Cyberkriminelle missbrauchen brasilianische Regierungswebsites für SEO-Betrug
Vertrauen ist im Web längst selbst zu einer Angriffsressource geworden. Eine von Check Point Research untersuchte Kampagne zeigt, wie Cyberkriminelle kompromittierte brasilianische Regierungswebsites nicht primär für Datendiebstahl nutzen, sondern deren Reputation kapern, um Glücksspielseiten in Suchmaschinen nach oben zu bringen und Nutzer auf gefälschte App-Stores zu lenken. Besonders kritisch: Die gleiche Infrastruktur ließe sich mit vergleichsweise geringem Aufwand auch zur direkten Verteilung von Malware einsetzen.
Seit Mitte 2025 verfolgt Check Point Research (CPR) die Aktivitäten eines chinesischsprachigen Cybercrime-Clusters, das die Forscher als „Gambling Goblin “ bezeichnen. Im Fokus stehen vor allem brasilianische Regierungs- und Bildungseinrichtungen. Die Angreifer kompromittieren deren Webserver und verwandeln sie mithilfe manipulierter Apache-Module in verdeckte Reverse-Proxys für Phishing- und Glücksspielinhalte.
Staatliche Domains werden Teil der Angriffsinfrastruktur
Der entscheidende Vorteil für die Angreifer liegt nicht allein im kompromittierten Server, sondern in dessen Reputation. Zahlreiche betroffene Systeme gehören zu legitimen gov(dot)br-Domains von Bundes-, Landes- und Kommunalbehörden.
Nach der Kompromittierung installieren die Angreifer eigens entwickelte Apache-Module. Diese können ausgewählte Besucher oder Suchmaschinen-Crawler unbemerkt mit extern kontrollierten Inhalten versorgen, während in der Adresszeile weiterhin die legitime Regierungsdomain erscheint.
Damit wird eine eigentlich vertrauenswürdige Website faktisch zum Frontend einer fremden Infrastruktur.
Gleichzeitig manipulieren die Module Sicherheitsmechanismen der betroffenen Server. Unter anderem werden Content-Security-Policy-Header entfernt beziehungsweise durch deutlich permissivere Richtlinien ersetzt. Eingeschleuste oder extern geladene Skripte können dadurch weitgehend ungehindert ausgeführt werden.
Gefälschte App-Stores als Tarnung
Die darüber ausgelieferten Seiten imitieren bekannte Plattformen wie Google Play, den Microsoft Store oder Amazon. Gefälschte Bewertungen, erfundene Rezensionen und strukturierte Metadaten sollen sowohl Nutzern als auch Suchmaschinen Seriosität vermitteln.
Hinter dieser Fassade werden jedoch vor allem Online-Glücksspiel und Sportwetten beworben.
Die eigentliche Raffinesse der Kampagne zeigt sich in der Verknüpfung zahlreicher bereits etablierter Domains. Links und App-Kacheln führen zu weiteren kompromittierten Websites mit hoher Suchmaschinenreputation. Dadurch können die Angreifer die Vertrauenswürdigkeit staatlicher Domains für ihre eigene SEO-Strategie instrumentalisieren.
Was ursprünglich als Schutzfaktor einer Domain gedacht war – Reputation, Alter und institutionelle Glaubwürdigkeit – wird damit zum Multiplikator für den Angriff.
SEO-Manipulation wird zum Cybersecurity-Problem
Die Kampagne macht deutlich, dass Suchmaschinenmanipulation längst mehr sein kann als klassischer Spam.
Gambling Goblin kombiniert kompromittierte Infrastruktur, manipulierte Webserver, Tarnmechanismen und automatisiert erzeugte Domains zu einer skalierbaren Betrugsplattform. Check Point Research beobachtete vergleichbare Phishing-Netzwerke bereits in vietnamesischer, spanischer und englischer Sprache. Neue Domains werden kontinuierlich generiert, was Blocklisten und Takedown-Maßnahmen zusätzlich erschwert. Damit handelt es sich offenbar nicht um eine regional begrenzte Kampagne, sondern um ein Modell, das sich auf weitere Märkte übertragen lässt.
Umfangreiches Linux-Arsenal auf kompromittierten Servern
Nach erfolgreichem Zugriff setzen die Angreifer ein breites Linux-Toolkit ein. Dazu zählen ein eigener Downloader, mehrere Backdoors, ein Credential-Stealer sowie Werkzeuge zur Aufklärung öffentlich erreichbarer Infrastruktur.
Viele dieser Komponenten sind stark verschleiert und mit zusätzlichen Packing- beziehungsweise Virtualisierungsschichten versehen, um Analyse und Erkennung zu erschweren. CPR identifizierte unter anderem Verbindungen zu Werkzeugen, die bereits früher dem Threat-Cluster Earth Berberoka zugeschrieben wurden.
Check Point Research bewertet die Verbindung zwischen Gambling Goblin und Earth Berberoka mit mittlerer bis hoher Sicherheit. Earth Berberoka wurde bereits in früheren Untersuchungen mit Angriffen auf Glücksspielplattformen in Asien in Verbindung gebracht.
Wenn Reputation selbst zum Angriffsziel wird
Für Sicherheitsverantwortliche liegt darin eine wichtige Verschiebung.
Eine öffentlich erreichbare Website muss nicht zwangsläufig sensible Daten enthalten, um für Angreifer wertvoll zu sein. Bereits die Reputation einer Domain, ihre Positionierung in Suchmaschinen und das Vertrauen der Nutzer können ein attraktives Asset darstellen.
Pedro Drimel Neto, Teamleiter bei Check Point Research, sieht darin ein Beispiel für die zunehmende Professionalisierung der Cyberkriminalität. Statt eine eigene verdächtige Infrastruktur aufzubauen, übernehmen Angreifer etablierte Server und nutzen deren Glaubwürdigkeit, um Betrugsinhalte zu verbreiten.
Gerade für Behörden und andere öffentliche Institutionen bedeutet das: Auch vermeintlich unkritische Webserver gehören zur digitalen Vertrauensinfrastruktur einer Organisation.
Nur eine Konfigurationsänderung von Malware entfernt
Der derzeit beobachtete Schwerpunkt liegt auf Glücksspielbetrug und SEO-Manipulation. Die technische Infrastruktur könnte jedoch deutlich gefährlichere Angriffe ermöglichen.
Da die manipulierten Webseiten bereits Download-Plattformen wie Google Play und den Microsoft Store imitieren, könnten die Betreiber dort statt Glücksspielangeboten auch manipulierte Anwendungen beziehungsweise Malware bereitstellen.
Check Point Research spricht deshalb von einem latenten Eskalationsrisiko: Die bestehende Infrastruktur sei nur eine Konfigurationsänderung von einer direkten Malware-Verteilung entfernt.
Damit verschwimmt zugleich die klassische Trennung zwischen finanziell motivierter Cyberkriminalität und technisch hochentwickelten APT-Operationen. Die Werkzeuge und Tarnmechanismen erreichen teilweise ein Niveau, das bislang eher mit Spionagekampagnen verbunden wurde.
Was Sicherheitsverantwortliche jetzt prüfen sollten
Organisationen mit öffentlich erreichbaren Apache-Systemen sollten insbesondere installierte Module und Konfigurationsänderungen kontrollieren. Unerwartete .so-Dateien oder manipulierte Zeitstempel können Hinweise auf eingeschleuste Komponenten liefern.
Auch Veränderungen an HTTP-Sicherheitsheadern verdienen Aufmerksamkeit. Fehlt beispielsweise eine Content Security Policy nur auf bestimmten URL-Pfaden, kann dies auf manipuliertes Proxy- oder Content-Injection-Verhalten hindeuten.
Darüber hinaus sollte Domain-Reputation als eigenes Schutzgut betrachtet werden. Eine kompromittierte Website bedroht nicht nur die Besucher der betroffenen Organisation. Sie kann als vertrauenswürdiger Einstiegspunkt genutzt werden, um Angriffe auf völlig andere Zielgruppen zu skalieren.
Sicherheitsteams sollten deshalb nicht ausschließlich nach klassischer Endpoint-Malware suchen, sondern Webserver, Module, Prozesse und Veränderungen der ausgelieferten Inhalte stärker in ihre Detection-Strategien einbeziehen.
Die Gambling-Goblin-Kampagne zeigt damit eine Entwicklung, die über Brasilien hinaus relevant ist: Angreifer müssen Vertrauen nicht mehr mühsam aufbauen. Sie können es kompromittieren, übernehmen und anschließend als Teil ihrer eigenen Infrastruktur weiterverwenden.
