Earth Berberoka usa servidores Linux de instituições brasileiras para impulsionar páginas fraudulentas
Uma campanha cibernética atribuída com média a alta confiança ao grupo de língua chinesa Earth Berberoka está transformando servidores Linux de órgãos públicos e instituições de ensino brasileiras em intermediários para golpes digitais. A operação, identificada pela Check Point Research como Gambling Goblin, combina invasão de servidores, manipulação de mecanismos de busca, distribuição de páginas falsas e divulgação de plataformas de apostas on-line.
Ativa desde meados de 2025, a campanha já envolveu dezenas de domínios legítimos associados a entidades municipais, estaduais e federais. Em vez de alterar a página inicial ou exibir mensagens de extorsão, os criminosos tentam manter os sites funcionando normalmente. Essa estratégia reduz as chances de detecção e permite explorar a reputação acumulada por endereços institucionais, sobretudo os terminados em .gov.br.
O objetivo é transformar a autoridade desses domínios em uma ferramenta de fraude. Quando uma página maliciosa é exibida por meio de um endereço governamental ou educacional, ela tende a parecer mais confiável para o usuário e também pode alcançar melhor posicionamento nos resultados de busca. Assim, um servidor legítimo passa a atuar como ponte entre a vítima e a infraestrutura controlada pelos invasores.
Como o ataque ao Apache funciona
Um dos principais recursos encontrados na operação é o módulo malicioso opsproxy.c, desenvolvido para o servidor Apache. A instalação é automatizada por um script em Bash capaz de identificar diferentes distribuições Linux, incluindo Debian, Ubuntu, CentOS e Red Hat.
Depois de reconhecer o ambiente, o instalador obtém dependências de desenvolvimento, compila o módulo localmente usando o utilitário apxs e altera a configuração do Apache para carregá-lo automaticamente. Ao final, remove arquivos temporários e vestígios do processo de compilação. Também modifica as datas associadas ao arquivo malicioso, numa tentativa de fazê-lo parecer antigo e integrante legítimo do sistema.
Após ser ativado, o componente monitora as requisições recebidas pelo servidor. Quando identifica determinados caminhos, como /wps, /bmw ou /card, encaminha o acesso para servidores externos operados pelo grupo. O visitante continua vendo o domínio da instituição, mas o conteúdo entregue é produzido ou selecionado pelos criminosos.
Na prática, o servidor comprometido funciona como um proxy reverso clandestino. Essa técnica permite ocultar a origem real das páginas, dificultar bloqueios baseados em domínio e aproveitar a credibilidade do endereço invadido.
Enfraquecimento das proteções do navegador
O módulo também remove cabeçalhos de Content Security Policy (CSP) e os substitui por regras mais permissivas. A CSP é uma medida de segurança que limita quais scripts, imagens e recursos externos podem ser carregados por uma página.
Ao desativar ou enfraquecer essa política, os invasores conseguem inserir JavaScript, executar código dinamicamente e buscar conteúdos em servidores de terceiros. Isso amplia a flexibilidade da fraude e permite alterar o que é exibido conforme o perfil do visitante, o dispositivo utilizado ou a origem do acesso.
Essa capacidade pode ser usada para apresentar páginas diferentes a administradores, mecanismos de busca e usuários comuns. Em alguns casos, o servidor pode continuar exibindo o conteúdo institucional para evitar suspeitas, enquanto entrega material fraudulento apenas quando detecta determinadas palavras-chave, URLs ou padrões de navegação.
Páginas falsas e manipulação de buscas
As páginas distribuídas pela campanha imitam lojas de aplicativos, portais de serviços e marcas conhecidas. O material é adaptado para o português brasileiro e inclui avaliações, comentários e elementos visuais criados para transmitir legitimidade.
Os criminosos também empregam dados estruturados, botões de compartilhamento e técnicas de otimização para mecanismos de busca. Dessa maneira, as páginas podem aparecer em pesquisas relacionadas a aplicativos, serviços digitais, promoções e apostas.
A estratégia é conhecida como envenenamento de SEO. Em vez de depender exclusivamente de mensagens de phishing, o grupo tenta fazer com que a própria vítima encontre o conteúdo fraudulento ao realizar uma busca aparentemente normal. O uso de vários domínios comprometidos aumenta a quantidade de páginas disponíveis e fortalece a distribuição orgânica do material.
Relação com o Earth Berberoka
A Check Point Research relacionou a campanha ao Earth Berberoka, também conhecido como GamblingPuppet, com grau de confiança entre médio e alto. A avaliação considera semelhanças entre ferramentas, infraestrutura, alvos e características linguísticas observadas na operação.
A associação, entretanto, não equivale à identificação definitiva dos responsáveis. O grupo já havia sido descrito em investigações anteriores como um agente de língua chinesa interessado no setor de jogos e apostas on-line. Suas atividades envolveram ambientes Windows, Linux e macOS, o que demonstra capacidade de atuar em diferentes sistemas operacionais.
A escolha de servidores Linux é especialmente relevante porque esse tipo de ambiente sustenta grande parte dos sites institucionais, sistemas acadêmicos, portais de serviços e aplicações em nuvem. Uma única invasão pode permitir a criação de múltiplas rotas de distribuição sem que o conteúdo principal do site seja alterado.
Por que a ameaça é difícil de perceber
O modelo utilizado não depende necessariamente de desfiguração, indisponibilidade ou criptografia de arquivos. O site pode continuar acessível, com aparência normal, enquanto componentes ocultos interceptam apenas determinadas requisições.
Essa característica reduz a eficácia de verificações superficiais. Uma equipe pode confirmar que a página inicial está funcionando e, ainda assim, não perceber que caminhos específicos estão redirecionando visitantes para plataformas fraudulentas.
Além disso, a manipulação de datas dos arquivos, a remoção de artefatos de compilação e o uso de módulos compilados localmente dificultam a identificação por ferramentas básicas. A análise precisa incluir configurações do Apache, módulos carregados, processos em execução, tarefas agendadas, alterações recentes no sistema e conexões de saída.
Riscos para instituições brasileiras
O impacto não se limita aos usuários que acessam as páginas falsas. Um servidor comprometido pode ser utilizado para capturar credenciais, distribuir malware, hospedar arquivos maliciosos ou servir de ponto inicial para movimentação dentro da rede institucional.
Também existe um dano reputacional significativo. Quando um domínio público aparece associado a apostas, aplicativos falsos ou golpes, cidadãos podem perder a confiança no órgão responsável. A reputação digital, portanto, torna-se parte da superfície de ataque.
Instituições de ensino e órgãos públicos devem considerar que servidores voltados à internet podem ser explorados mesmo quando não armazenam informações sensíveis. A autoridade do domínio e o volume de acessos já são ativos valiosos para grupos que trabalham com fraude e manipulação de tráfego.
Medidas de prevenção e resposta
A resposta deve começar pela preservação de evidências. Antes de remover arquivos suspeitos, é importante registrar configurações, processos, conexões de rede, módulos ativos e horários de alteração. A limpeza imediata, sem investigação, pode apagar informações úteis para descobrir a origem do acesso e identificar outros sistemas afetados.
Entre as ações recomendadas estão:
– revisar todos os módulos habilitados no Apache e em outros servidores web;
– comparar arquivos de configuração com versões conhecidas e confiáveis;
– procurar scripts Bash recentes, binários desconhecidos e tarefas agendadas;
– verificar conexões de saída para endereços não reconhecidos;
– analisar URLs e caminhos incomuns acessados pelos visitantes;
– atualizar o sistema operacional, o Apache, bibliotecas e aplicações instaladas;
– restringir privilégios de contas de serviço;
– utilizar autenticação multifator nos painéis administrativos;
– monitorar alterações em arquivos públicos e cabeçalhos HTTP;
– revisar registros de DNS, proxy, firewall e balanceadores de carga.
Também é necessário testar o site a partir de diferentes redes, navegadores e dispositivos. Algumas campanhas entregam conteúdo malicioso apenas para determinadas origens, agentes de usuário ou termos de pesquisa, o que pode esconder o problema em uma inspeção comum.
Indicadores para investigação
Equipes técnicas devem procurar módulos Apache que não estejam documentados, bibliotecas compiladas recentemente, scripts com comandos de instalação automatizada e alterações incomuns nas diretivas de carregamento. Cabeçalhos de segurança ausentes ou excessivamente permissivos também merecem atenção.
Outros sinais incluem acessos a caminhos pouco usuais, respostas diferentes conforme o parâmetro da URL, aumento repentino de tráfego orgânico e referências a páginas de apostas ou lojas de aplicativos inexistentes no conteúdo oficial da instituição.
A investigação deve abranger não apenas o servidor web, mas também credenciais administrativas, sistemas de integração, máquinas de desenvolvedores e serviços de hospedagem relacionados. O comprometimento pode ter começado em outro ponto da infraestrutura.
A campanha mostra que a confiança institucional passou a ser um recurso explorado diretamente por grupos criminosos. Proteger um site, portanto, não significa apenas mantê-lo disponível: é preciso garantir que cada caminho, módulo, script e resposta entregue pelo servidor corresponda ao conteúdo autorizado pela organização.