根據 Check Point Research 與多家資安機構的分析，一個被稱為 Gambling Goblin 的中文語系網路犯罪組織，正採取一種高度隱蔽的攻擊手段，針對巴西政府與教育機構的網頁伺服器進行滲透。該組織的核心目的並非破壞系統或竊取機密資料，而是將這些具有高信譽的官方網站轉化為流量跳板，將造訪者導向非法在線賭博與體育投注頁面。
背景與攻擊目標
這場攻擊活動自 2025 年中開始被追蹤。巴西政府網站（.gov.br）與司法網站（.jus.br）成為主要目標，原因在於這些域名在搜尋引擎中擁有極高的權威度與信任等級。2025 年 1 月起，巴西開始依法將固定賠率投注合法化並授權特定域名運作，這為網路犯罪分子提供了絕佳的偽裝機會，使其能將非法賭博內容偽裝成合法的商業行為。
核心技術運作：惡意 Apache 模組與反向代理
Gambling Goblin 的攻擊手法在於安裝惡意的 Apache 模組。Apache 是全球廣泛使用的開放原始碼網頁伺服器軟體，而模組則是用來擴充其功能的功能單元。攻擊者透過安裝自定義的惡意模組，實現了反向代理（Reverse Proxy）的功能。
反向代理是一種網路中介技術，通常用於負載平衡或快取，但在這裡被用來劫持流量。當使用者訪問受感染的政府網站時，惡意模組會將請求攔截並轉發到攻擊者控制的釣魚頁面。由於流量在表面上仍顯示來自合法的政府域名，使用者很難察覺自己已被導向外部伺服器。此外，該模組會刻意移除網站原有的安全標頭（Security Headers），這些標頭原本是用於防止跨站腳本攻擊或點擊劫持的防護機制，移除後可確保注入的惡意內容能順利執行。
最終，使用者會看到偽裝成 Google Play、Microsoft Store 或 Amazon 等知名應用程式商店的頁面，被誘導下載或加入體育投注平台。
後續滲透與工具鏈
一旦成功控制伺服器，Gambling Goblin 會部署一套完整的工具鏈以維持權限並擴大影響力。這些工具包括 DownPro（自定義下載器）、AlphaAgent（模組化後門）以及 oRAT（遠端存取木馬）。
其中最值得關注的是一款名為 3snake 的憑證竊取工具。該工具利用 ptrace 技術（一種 Linux 系統調用，允許一個程序觀察並控制另一個程序的執行過程）來附加到新啟動的 sshd（遠端登入服務）或 sudo（權限提升指令）程序中。透過這種方式，3snake 能直接從記憶體中提取與密碼認證相關的字串，從而獲取伺服器管理員的憑證。這意味著攻擊者不僅能控制網頁內容，還能取得伺服器的最高管理權限。
SEO 操縱與流量控制的實務意義
這類攻擊的本質是大規模的搜尋引擎最佳化（SEO）操縱。攻擊者利用高信譽域名的權威性，透過建立大量包含關鍵字的偽造頁面來欺騙搜尋引擎的爬蟲（如 Googlebot）。
研究發現，部分攻擊者採取了選擇性回應的策略：當請求來自 Googlebot 時，伺服器會回傳精心設計的 SEO 頁面以提升搜尋排名；而當真實使用者造訪時，則直接將其導向賭博網站。這種做法能讓非法網站迅速在搜尋結果中攀升，同時避免一般使用者在初次造訪時發現內容異常，從而降低被舉報的風險。
影響、限制與防禦挑戰
此類攻擊對政府機構造成了嚴重的信譽損害，且在防禦上具有高度挑戰性。由於惡意行為發生在伺服器內部的 Apache 模組層級，傳統的網頁防火牆（WAF）可能無法偵測到這種內部轉發。
此外，資安分析機構 ANY.RUN 指出，由於被劫持的是政府核心資源，防禦者不能簡單地採取封鎖整個域名的做法，否則會導致公眾無法正常獲取政府服務。這使得清理過程必須在不中斷服務的前提下，精準地識別並移除惡意模組。
目前，這類活動被認為與 Earth Berberoka 等中文語系攻擊組織有關，且在越南、西班牙與英語地區也發現了類似的釣魚網路。這種跨國、模組化的攻擊模式顯示，針對 Linux 伺服器底層組件的劫持已成為推廣非法內容與分發惡意軟體的高效手段。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。