Technisch setzt Gambling Goblin auf ein eigens angepasstes Apache-Modul. Laut dem Bericht registriert sich das Modul in der Namensauflösungsphase des Webservers und prüft jede eingehende Anfrage auf eine kleine Menge fest hinterlegter URL-Präfixe. Trifft eine Anfrage zu, wird sie in eine Reverse-Proxy-Anfrage an einen im Quellcode fest eingetragenen Upstream-Server umgeschrieben — der Besucher wird still zur Angreiferinfrastruktur weitergeleitet, während die Anfrage nach außen weiterhin von der legitimen, kompromittierten Domain zu kommen scheint.
Nach dem Zugriff kompilieren und installieren die Angreifer auf den Servern der Opfer ein unauffälliges Linux-Toolkit: einen Downloader, mehrere Backdoors, einen Zugangsdaten-Stealer sowie weitere Offensivwerkzeuge für die Phase nach der Kompromittierung. Check Point fand zudem Platzhalter-Dateinamen für Rootkits, konnte in den analysierten Malware-Samples aber keine entsprechenden Komponenten nachweisen. Der initiale Zugangsweg ist bislang unbekannt.
“Im Grunde können sie diese Infrastruktur jederzeit in alles verwandeln, was sie wollen”, sagt Neto. “Sie könnten sie irgendwann auch Schadsoftware herunterladen lassen, weil die Infrastruktur ja schon steht.” Besonders unterschätzt werde nach seiner Einschätzung das Risiko gestohlener Zugangsdaten: Diese könnten auch in anderen Teilen der Infrastruktur der betroffenen Behörden gültig sein. Ob die kompromittierten Webserver von den Verwaltungsnetzen getrennt betrieben werden, sei unklar — möglicherweise seien es andere Administratoren und andere Passwörter, möglicherweise aber auch dasselbe Netz.
Check Point sieht Verbindungen zur bekannten Gruppe Earth Berberoka, die vergleichbare Methoden gegen Ziele im asiatisch-pazifischen Raum eingesetzt hat. So identifizierten die Analysten ein zweites Netzwerk, das auf vietnamischsprachige Nutzer ausgerichtet ist. Kommentare im Code und in den Skripten sind auf Chinesisch verfasst und enthalten häufig Emojis, was aus Sicht der Forscher auf eine KI-unterstützte Entwicklung der Werkzeuge hindeutet.
Den Hintergrund liefert der brasilianische Glücksspielmarkt: 2025 legalisierte das Land Online-Wetten, was zu einem starken Anstieg der Glücksspielaktivität führte. Derzeit wird über strengere Schutzvorschriften für Bürger diskutiert, die häufig mit algorithmisch gesteuerten Casinospielen adressiert werden; illegale Glücksspielseiten werden dabei oft von Cyberkriminellen bewerbt.
Brasilien bleibt ein beliebtes Ziel in Lateinamerika. Vor einem Jahrzehnt dominierten Banking-Trojaner, die Zugangsdaten abgriffen, sich in Konten einloggten und Gelder überwiesen; in den vergangenen Jahren rückten Ransomware und Malware als Nutzlast nach der Kompromittierung in den Vordergrund. Trend Micro entdeckte im vergangenen Jahr etwa einen sich selbst verbreitenden Trojaner, der Zugangsdaten stahl, damit Geld abzog und sich anschließend an weitere WhatsApp-Kontakte des Opfers weiterschickte.
Früher hätten vor allem lokale Gruppen den brasilianischen Markt attackiert, so Neto — wegen der heterogenen Technologielandschaft, der Schwierigkeiten beim Abziehen von Geld und der Sprachbarriere, “zumindest vor der KI”. Dass nun chinesische Gruppen Lateinamerika ins Visier nehmen, zeige das rasche Wachstum global agierender Cybercrime-Syndikate, unterstützt durch KI-Systeme, die Phishing-Köder und Inhalte muttersprachlich übersetzen können.
“Für uns sieht es so aus, als bereiteten sie sich darauf vor, weitere Länder anzugreifen, aber praktisch ist noch nichts passiert”, sagt Neto. “Wir beobachten die Gruppe weiter und schauen, wie weit sie geht.”