Earth Berberoka ataca sites públicos no Brasil com malware Linux

AMEAÇAS CIBERNÉTICAS

Campanha atribuída com média a alta confiança a um grupo de língua chinesa transforma servidores Linux de instituições brasileiras em proxies clandestinos para páginas fraudulentas, manipulação de buscas e promoção de apostas on-line.

Uma operação cibercriminosa ativa desde meados de 2025 vem comprometendo servidores web de órgãos públicos e instituições de ensino no Brasil para manipular resultados de busca e conduzir usuários a páginas fraudulentas. Batizada de Gambling Goblin pela Check Point Research, a campanha combina envenenamento de SEO, módulos maliciosos para o Apache e um conjunto de ferramentas Linux voltado à persistência, ao roubo de credenciais e à movimentação dentro das redes invadidas.
A investigação identificou dezenas de domínios brasileiros legítimos envolvidos na infraestrutura, incluindo endereços vinculados a entidades municipais, estaduais e federais. Em vez de simplesmente desfigurar os sites, os invasores procuram preservar sua aparência e reputação. O objetivo é usar a autoridade acumulada por domínios confiáveis — especialmente endereços .gov.br — para melhorar o posicionamento de conteúdo fraudulento nos mecanismos de busca e transmitir credibilidade às vítimas.
A Check Point avaliou, com média a alta confiança, que a atividade possui ligação com o Earth Berberoka, também conhecido como GamblingPuppet. A atribuição se apoia em sobreposições de ferramentas, infraestrutura, alvos e características linguísticas, mas não representa uma identificação definitiva dos operadores. O Earth Berberoka foi documentado anteriormente pela Trend Micro como um agente de língua chinesa voltado ao setor de jogos e apostas on-line, com atuação em Windows, Linux e macOS.

Servidor legítimo vira intermediário da fraude

Um dos principais componentes encontrados pelos pesquisadores é um módulo Apache identificado como opsproxy.c. Um instalador em Bash reconhece distribuições como Debian, Ubuntu, CentOS e Red Hat, instala dependências de desenvolvimento, compila o módulo localmente por meio do utilitário apxs e o habilita na configuração do servidor web. Depois, o script remove artefatos de compilação e altera os registros de data do arquivo malicioso para fazê-lo parecer um componente antigo e legítimo.
Uma vez carregado pelo Apache, o módulo observa as solicitações recebidas. Quando detecta caminhos específicos definidos pelos operadores, como /wps, /bmw ou /card, encaminha a requisição para servidores externos controlados pelo grupo. Na prática, o site invadido passa a funcionar como um proxy reverso: o visitante acessa um endereço institucional, mas recebe uma página produzida pelo criminoso.
O componente também remove cabeçalhos de Content Security Policy (CSP) e os substitui por regras permissivas. A CSP é uma camada de segurança usada pelo navegador para limitar scripts e recursos que uma página pode executar. Ao enfraquecê-la, os invasores ampliam o controle sobre o conteúdo apresentado, permitindo scripts embutidos, execução dinâmica de JavaScript e carregamento de recursos de terceiros.

Páginas falsas exploram buscas, aplicativos e apostas

As páginas entregues pela infraestrutura criminosa imitam lojas de aplicativos e portais associados a marcas conhecidas, apresentam conteúdo em português brasileiro e recorrem a avaliações e comentários fabricados para convencer o visitante. Metadados estruturados, elementos de compartilhamento em redes sociais e outras técnicas de otimização ajudam o conteúdo a parecer legítimo tanto para usuários quanto para rastreadores de mecanismos de busca.
Por trás dessas vitrines, os operadores promovem serviços de apostas e jogos on-line. O encadeamento de vários domínios comprometidos aumenta o alcance orgânico e dificulta a análise superficial, pois parte do tráfego passa por instituições que já possuem reputação consolidada. A fraude, portanto, ultrapassa a invasão de um site isolado: trata-se da apropriação industrializada da confiança institucional para gerar tráfego e monetização.
A presença do cadeado HTTPS também não resolve o problema. O certificado confirma que a conexão com o domínio foi criptografada, mas não garante que o servidor esteja livre de comprometimento nem que o conteúdo entregue seja legítimo. Nesse cenário, usuários podem encontrar uma página maliciosa por meio de uma busca comum, abrir um endereço aparentemente confiável e ainda assim ser conduzidos a downloads, cadastros ou pagamentos de risco.

Ferramentas Linux ampliam persistência e alcance

A infraestrutura observada inclui o DownPro, um downloader desenvolvido em Go; a backdoor modular AlphaAgent; o trojan de acesso remoto oRAT; um ladrão de credenciais derivado do projeto 3snake, chamado PasswordHarvester; além de ferramentas de força bruta contra SSH e scripts de reconhecimento. Essa combinação dá aos invasores meios para instalar cargas adicionais, coletar informações, roubar chaves e senhas, criar túneis e avançar lateralmente.
O DownPro utiliza endereços criptografados com AES-GCM para localizar cargas adicionais e cria arquivos com nomes semelhantes aos de processos comuns do Linux, como systemd-udevd, rsync-tsl e snapd-ext. Também pode instalar um auxiliar com o bit setuid, chamado chuser, preservando a execução privilegiada de comandos mesmo após outras partes da invasão serem removidas.
Já o PasswordHarvester monitora processos de autenticação, entre eles sshd, sudo, su, ssh, passwd e login. Quando executado como root, pode anexar-se a esses processos com ptrace, capturar credenciais e enviá-las à infraestrutura de comando e controle. A AlphaAgent, por sua vez, oferece shell remoto, transferência de arquivos, proxy SOCKS5, tunelamento, coleta de chaves SSH e reconhecimento para movimentação lateral.

Como as organizações brasileiras podem responder

A campanha exige que a defesa vá além de varreduras tradicionais em estações de trabalho. Servidores web Linux precisam ser incluídos em programas de gestão de exposição, monitoramento de integridade, detecção de comportamento e resposta a incidentes. A existência de uma página aparentemente normal não deve ser tomada como evidência de que a infraestrutura está íntegra.

• Inventariar os módulos carregados pelo Apache e comparar a lista com uma linha de base aprovada.
• Investigar arquivos .so desconhecidos, alterações não autorizadas em configurações e módulos compilados diretamente no servidor.
• Monitorar mudanças em cabeçalhos CSP, regras de proxy, redirecionamentos e caminhos incomuns atendidos pelo site.
• Aplicar monitoramento de integridade em binários, unidades systemd, chaves SSH, arquivos de configuração e diretórios do servidor web.
• Procurar processos que imitem serviços legítimos, uso anormal de ptrace, executáveis com setuid e conexões externas inesperadas.
• Restringir privilégios, proteger contas administrativas com autenticação multifator resistente a phishing e revisar acessos de terceiros.
• Preservar evidências antes da remoção e executar resposta completa, incluindo rotação de credenciais e busca por movimentação lateral.

Para o usuário final, a recomendação é desconfiar de páginas de download ou apostas encontradas em resultados de busca, mesmo quando hospedadas sob domínios conhecidos. Aplicativos devem ser obtidos por lojas oficiais abertas diretamente no dispositivo, e não por botões oferecidos em páginas intermediárias. Solicitações de instalação manual, desativação de proteções ou concessão de permissões incomuns devem ser tratadas como sinais de alerta.

Indicadores para investigação

Entre os indicadores divulgados estão os domínios neutralizados rb[.]aliyuntsl[.]com, br[.]team-c2[.]com, hwlocal[.]team-hw[.]com, br[.]team-hw[.]com, data[.]mirrors-inc[.]com, team-hw[.]com e update[.]team-c2[.]com. Os endereços IP informados incluem 154[.]84[.]62[.]160, 154[.]84[.]62[.]128, 154[.]84[.]62[.]149, 154[.]84[.]62[.]145, 15[.]228[.]251[.]82, 56[.]124[.]87[.]60, 18[.]229[.]255[.]14 e 18[.]166[.]208[.]57.
Indicadores não devem ser bloqueados de forma automática sem validação de contexto, pois endereços podem mudar de uso ou hospedar serviços compartilhados. O emprego mais seguro é correlacioná-los com telemetria de DNS, proxy, firewall, EDR, logs do Apache e eventos de autenticação. Os valores foram mantidos neutralizados para evitar resolução ou acesso acidental.

Confiança institucional também é superfície de ataque

O caso mostra que criminosos não precisam criar toda a credibilidade de uma fraude do zero. Ao comprometer uma instituição reconhecida, podem herdar temporariamente a reputação do domínio, sua presença nas buscas e a confiança do público. Para organizações públicas e educacionais, o dano potencial inclui não apenas indisponibilidade e perda de dados, mas também a transformação involuntária de seus ativos digitais em infraestrutura de fraude contra terceiros.
A resposta passa por tratar servidores web como ativos críticos, acompanhar alterações no conteúdo entregue e verificar continuamente se o comportamento externo do domínio corresponde ao ambiente autorizado. Para o cidadão, a lição é igualmente importante: domínio conhecido, HTTPS e boa posição no Google são sinais úteis, mas nenhum deles, isoladamente, comprova que uma página está segura.