Mã độc Apache chuyển hướng truy cập website chính phủ Brazil sang trang cá cược
"Malicious Apache modules were found on compromised Brazilian government and educational web servers, where they reverse-proxied visitors to attacker-controlled phishing and betting pages while stripping security headers. Check Point attributed the campaign to the Gambling Goblin cluster and linked it to SEO manipulation and related tooling such as a downloader, backdoor, RAT, credential stealer, SSH brute-forcer, and reconnaissance agent; no CVE was mentioned and no specific cleanup status was provided."
Ảnh hưởng trực tiếp đến tính toàn vẹn nội dung web, uy tín tên miền và nguy cơ rò rỉ thông tin đăng nhập trên máy chủ bị chiếm quyền.
Có thể gây gián đoạn dịch vụ, làm giảm niềm tin người dùng và ảnh hưởng xếp hạng tìm kiếm của các website hợp pháp.
Theo Check Point Research, một nhóm tội phạm mạng nói tiếng Trung được theo dõi với tên Gambling Goblin đã cài module Apache độc hại trên các máy chủ web bị xâm nhập của cơ quan chính phủ và tổ chức giáo dục tại Brazil. Các module này dùng kỹ thuật reverse proxy để chuyển hướng người truy cập sang các trang phishing và cá cược do kẻ tấn công kiểm soát, trong khi địa chỉ hiển thị vẫn là tên miền hợp pháp.
Nhóm nghiên cứu cho biết các trang đích còn giả mạo Google Play, Microsoft Store và Amazon, đồng thời bị nghi phục vụ mục tiêu SEO manipulation quy mô lớn. Hạ tầng liên quan cũng được ghi nhận có các biến thể ngôn ngữ Việt, Tây Ban Nha và Anh, cùng cơ chế tạo tên miền mới hằng ngày.
Sau khi chiếm quyền máy chủ, tác nhân triển khai nhiều công cụ như DownPro, AlphaAgent, oRAT, bộ credential stealer dựa trên 3snake, SSH brute-forcer và tác nhân reconnaissance. Hiện chưa có thông tin về CVE, số lượng máy chủ bị ảnh hưởng hay trạng thái dọn dẹp.
Khuyến nghị: rà soát các Apache module lạ, kiểm tra cấu hình security headers, đối chiếu tiến trình sshd/sudo bất thường, và cô lập ngay các máy chủ có dấu hiệu bị chèn nội dung hoặc chuyển hướng trái phép.