中国語話す犯罪集団「Gambling Goblin」がブラジル政府サイトをSEO悪用 — Check PointがApacheモジュール型リバースプロキシ手口を解明

Check Point Researchは2026年9月2日、中国語を話すサイバー犯罪集団「Gambling Goblin」による大規模なSEO（検索エンジン最適化）悪用キャンペーンを公表した。同社のAmit Yardeni氏が執筆した報告によると、同集団は2025年半ばからブラジルの政府機関や教育機関を中心にWebサーバへ侵入し、悪性のApacheモジュールで訪問者をギャンブル誘導ページへ誘導する仕組みを構築していた。高評価の政府ドメインの評判を借りて検索順位を押し上げる手口で、ベトナム語など多言語の誘導網も確認されている。

Check Pointは本集団を、かつてアジアのギャンブルサイトを標的にしたとされる「Earth Berberoka」に関連する中国語話すクラスターと位置づけている。ブラジルでは従来、自国発のバンキング型トロイの木馬が主流だったが、国外の犯罪集団が政府サイトを足場に大規模な検索詐欺へ転用した点が特徴だと同社は指摘している。

悪性Apacheモジュールによるステルスなリバースプロキシ

攻撃の中核は、侵害したサーバに仕込むカスタムApacheモジュール opsproxy.c である。Check Pointによると、攻撃者はBash製インストーラーを用い、root権限を確認した上でホストがDebian/Ubuntu系かCentOS/RedHat系かを判別し、対応するApache開発パッケージを取り込んでモジュールを被害サーバ上で直接コンパイルする。

インストーラーはハードコードされたステージングサーバからC言語のソース opsproxy.c を取得し、不足するマクロ定義をその場でパッチしてコンパイルを通す。コンパイルとインストールはApache標準の apxs を用いて行い、モジュールをサーバ設定へ組み込む。完了後はソースやビルド成果物を削除し、生成した .so と設定ファイルのタイムスタンプを mod_ssl や mod_suexec といった正規モジュールに合わせて改ざん（timestomping）する。依存する標準モジュールである proxy、headers、rewrite を有効化し、設定テストを経てApacheを再起動して稼働させる。Check Pointは、インストーラーの状態メッセージが中国語で絵文字を伴う点を挙げ、AI支援で開発された可能性を示唆している。

opsproxy.c はリバースプロキシとして動作し、侵害されたWebサーバの正規ドメインのまま、訪問者を攻撃者が管理するフィッシングページ群へ透過的に中継する。通信は正規ドメインから発信されているように見え、サイト側のセキュリティヘッダーを除去することで注入したコンテンツが自由に実行される。結果として、利用者や検索エンジンからは政府サイトのコンテンツと区別しにくくなる。

誘導先のページはGoogle Play、Microsoft Store、Amazonといった信頼されたアプリストアを装い、実際にはオンラインギャンブルやスポーツベッティングへ誘導する。Check Pointは、侵害した高評価ドメインを相互に連結して検索順位を押し上げる構造を確認し、「政府サイトの評判を借りた大規模なSEO操作」が目的だと分析している。ページ自体はアプリ配布を模した作りであるため、設定を一つ変えるだけでマルウェア配布へ転用可能な潜在的リスクがあると同社は警告している。

Linux向け多層ツールキットと偵察エージェント「cam-agent」

被害ホストでは、難読化と仮想化で保護された多層のLinuxツールキットが確認された。Check Pointが挙げた主な構成要素は次のとおりである。

• DownPro: カスタムダウンローダー
• AlphaAgent: モジュール型バックドア
• oRAT: リモートアクセス型トロイの木馬（RAT）
• 3snakeベースの認証情報窃取ツール: 認証情報を窃取する
• SSH総当たり（ブルートフォース）ツール
• cam-agent（cluster-asset-mapping）: Go言語で書かれた偵察エージェント

cam-agentは攻撃者が「cluster-asset-mapping」と呼ぶエージェントで、あるサーバの公開ディレクトリに残された痕跡から発見された。/tmp/asset-scan 配下に payload-run.log を出力し、gRPCでサーバと通信する。設定には worker_endpoint、server_id、project、agent_token、PEM証明書・鍵、プラグインリスト、レポートポリシーが含まれる。

同エージェントは既知のオープンソースの侵入テストツールをプラグインとして束ね、インターネット公開資産の攻撃面を網羅的に探索する。Check Pointが確認したプラグインは dirprobe（ディレクトリ探索）、httpx（HTTP情報収集）、naabu（ポートスキャン）、nuclei v3（テンプレートベース脆弱性検査）、subfinder（サブドメイン列挙）、whatweb（Web技術指紋採取）などで、JSONのレポートポリシーで対象ポートやバッチサイズ、再試行回数などを制御する。

Check Pointは、初期侵入の直接的な観測は得られていないとしつつも、この偵察基盤がインターネット公開サーバの脆弱な領域を体系的に洗い出す役割を担っていると分析している。

多言語展開と日替わりドメイン — 日本への示唆

Check Pointは、ブラジルの政府ドメインを中心とする誘導網に加え、ベトナムの利用者を標的とする第二のフィッシングネットワークを確認した。さらにスペイン語・英語にローカライズされたページ群や、日替わりで新たなドメインを生成するインフラも見つかっており、同モデルが拡張可能に設計されていることを示している。

日本国内でも、政府・自治体・教育機関のWebサイトが侵害されてSEOポイズニングやフィッシングの中継点に悪用される事例は過去に確認されている。Check Pointが示した手口は、Apacheモジュールのようなサーバ内部の改変を伴うため、通常のWeb改ざん検知では見逃されやすく、タイムスタンプの偽装で管理者の目視点検もすり抜ける。サーバの整合性監視やモジュールの棚卸し、不審なリバースプロキシ設定の監査が重要になる。

Check Pointは本報告で、侵害された正規ドメインの評判を悪用するSEO操作が現在の主目的である一方、アプリ配布を装う構造上、攻撃者が意図すればマルウェア配布へ容易に転用できると指摘している。対策として、同社は侵害されたサーバの隔離と再構築、Apacheモジュールと設定の検証、認証情報のローテーションを推奨している。

出典

• Check Point Research「Gaming the system: how a Chinese-speaking actor turned Brazilian government sites into an SEO weapon」 https://research.checkpoint.com/2026/gaming-the-system-how-a-chinese-speaking-actor-turned-brazilian-government-sites-into-an-seo-weapon/