Auf einem übernommenen Host setzt die Gruppe laut Check Point unter anderem das Werkzeug 3snake ein. Dessen öffentliche Version hängt sich per ptrace an neu gestartete sshd- und sudo-Prozesse und extrahiert Zeichenketten, die mit passwortbasierter Authentifizierung zusammenhängen; die Dokumentation nennt gerootete Server als Ziel. The Hacker News prüfte den 3snake-Quellcode auf GitHub am 2. September 2026 und bestätigte beides. Damit liest eine von den Betreibern kontrollierte Komponente die Zugangsdaten mit, die zur Administration eines kompromittierten Servers verwendet werden.
Auf einem offen zugänglichen Verzeichnis eines Angreiferservers fand Check Point zudem eine in Go geschriebene ELF-Binärdatei, die Plugins zur Aufklärung und zum Scannen bündelt. Parallel identifizierten die Forscher Phishing-Netzwerke in vietnamesischer, spanischer und englischer Sprache sowie eine Infrastruktur, die täglich neue Domains erzeugt. Da die Seiten bereits App-Download-Ziele nachahmen, seien die Betreiber laut Check Point “nur einen Schritt davon entfernt, Schadsoftware direkt an die Opfer auszuliefern”. Betroffene Organisationen werden in der veröffentlichten Zusammenfassung nicht genannt; ob die kompromittierten Server bereinigt wurden, bleibt offen.
Check Point verknüpft das Cluster mit Earth Berberoka, einem Akteur, den Trend Micro 2022 als Angreifer auf Glücksspiel-Websites in ganz Asien beschrieb und der Schadsoftware-Familien nutzt, die historisch chinesischsprachigen Personen zugeschrieben werden. Die zur Gruppe gehörende Linux-Hintertür Xnote wurde bei Angriffen auf kritische Infrastruktur in Asien gemeldet. Das Linux-Werkzeug oRAT dokumentierte Trend Micro im April 2022 als Earth-Berberoka-Malware, in Windows- und macOS-Samples jeweils mit der Versionsnummer 0.5.1; The Hacker News bestätigte diese Herkunft am 2. September 2026 anhand der Trend-Micro-Forschung.
ANY.RUN berichtete in einem am 16. Juli veröffentlichten Report, dass mindestens 20 .gov.br-Portale brasilianischer Kommunen und Polizeibehörden zur Verbreitung von Schadsoftware genutzt wurden — in einer Kampagne, die das Unternehmen als PhantomEnigma führt. “Diese Regierungssysteme sind Teil der Auslieferungskette, nicht bestätigte Ziele der Kampagne”, so ANY.RUN. Kompromittierte .gov.br- und .jus.br-Hosts sollten getrennt von der Angreiferinfrastruktur behandelt werden, da pauschale Sperren den Zugang zu staatlichen Ressourcen unterbrechen würden.
Ähnliche Muster sind auch außerhalb der Apache-Welt dokumentiert: ESET zählte mindestens 65 Windows-Server, überwiegend in Brasilien, Thailand und Vietnam, die im Juni 2025 vom Akteur GhostRedirector kompromittiert wurden — mit mittlerer Zuversicht als chinaverbunden eingestuft. Installiert wurde ein natives IIS-Modul namens Gamshen. “GhostRedirector hat ein bösartiges natives IIS-Modul namens Gamshen entwickelt, das SEO-Betrug ausführen kann; wir gehen davon aus, dass es dazu dient, verschiedene Glücksspiel-Websites künstlich zu bewerben”, erklärte ESET. Gamshen veränderte die Serverantwort nur bei Anfragen des Googlebot. Dieselbe Reverse-Proxy-Technik auf IIS-Servern dokumentierte Palo Alto Networks Unit 42 im September 2025.
Hunt.io meldete im Juli 2025 mehr als 630.000 URLs, die auf gekaperten gov.br-Subdomains erzeugt wurden und dem Googlebot mit Schlüsselwörtern überladene, behördlich anmutende Seiten auslieferten, während echte Nutzer auf Wettseiten umgeleitet wurden. Bestimmte Indikatoren hielt das Unternehmen in Abstimmung mit dem brasilianischen Incident-Response-Team CTIR während der laufenden Untersuchung zurück. “Das Ziel war nicht, in Systeme einzubrechen. Es war, Sichtbarkeit zu kontrollieren”, so Hunt.io.
Brasilien vergibt seit dem 1. Januar 2025 auf Grundlage des Gesetzes 14.790/2023 Lizenzen für Wetten mit festen Quoten; autorisierte Betreiber dürfen .bet.br-Domains über die Registrierungsstelle Registro.br nutzen. Ob die über die kompromittierten Server beworbenen Wettseiten über diese Genehmigung verfügen, führte Check Point nicht aus.