중국어권 사이버범죄 그룹 'Gambling Goblin'이 브라질 정부 기관과 교육기관의 웹 서버에 악성 Apache 모듈을 심어, 방문자를 온라인 도박·스포츠 베팅 사이트로 몰래 연결하는 공격이 확인됐습니다. 피해자는 주소창에 정상 정부 도메인이 표시되는 채로 가짜 구글플레이·마이크로소프트 스토어 등을 모방한 피싱 페이지로 유도됩니다. 공격자는 서버에 침투한 뒤 DownPro·AlphaAgent·oRAT·SSH 무차별 대입 도구 등 다양한 악성 도구를 배포하고, 3snake 기반 도구로 서버 관리자 계정 정보까지 탈취합니다. 조사 기관 Hunt.io는 탈취된 브라질 정부 서브도메인에서 생성된 URL이 63만 개 이상이라고 밝혔습니다. 이 그룹은 2022년 아시아 도박 사이트를 노린 것으로 알려진 위협 행위자 Earth Berberoka와 연관된 것으로 분석됩니다.
중국어권 해킹 그룹 Gambling Goblin이 브라질 정부·교육기관 웹 서버에 악성 Apache 모듈을 설치해, 실제 방문자를 도박·베팅 피싱 페이지로 투명하게 리다이렉션했다. 최소 20개 .gov.br 포털이 악용된 것으로 보고됐다.
정부 도메인의 신뢰도를 이용한 대규모 SEO 조작으로 검색 순위가 왜곡되고, 방문자는 악성 앱 다운로드를 유도하는 피싱 페이지에 노출된다. 서버 관리자 자격증명까지 탈취되어 추가 침해로 이어질 수 있다.
초기 침입 경로는 아직 확인되지 않았으나, 공격자 서버에서 발견된 Go 언어 ELF 바이너리가 정찰·스캐닝 플러그인을 포함하고 있어 인터넷 노출 서버를 자동 스캐닝한 것으로 추정된다.
브라질 정부 침해대응팀 CTIR가 수사 중이며, Hunt.io는 일부 침해지표를 CTIR와 협조하여 공개를 보류했다. 현재까지 피해 서버가 복구됐는지는 확인되지 않았다.
Apache 관리자는 로드된 모듈 목록을 점검하고 비인가 모듈 존재 여부를 확인해야 한다. SSH·sudo 인증 관련 로그 이상과 ptrace 사용 여부도 점검 대상이다. 브라질 정부 도메인을 통째로 차단하면 정상 서비스도 막힐 수 있으므로 주의가 필요하다.
본문
Gambling Goblin으로 알려진 중국어권 사이버범죄 클러스터가 브라질 정부 및 교육기관이 운영하는 웹 서버에 악성 Apache 모듈을 설치하고, 방문자를 온라인 도박·스포츠 베팅을 홍보하는 공격자 제어 페이지로 우회시키는 행위가 포착됐다.
Check Point Research는 2025년 중반부터 이 캠페인을 추적해왔다고 밝혔다.
해당 모듈은 트래픽이 여전히 정상 도메인에서 발생하는 것처럼 보이게 하면서 방문자를 피싱 페이지로 역방향 프록시(reverse-proxy)한다. 사이트 자체의 보안 헤더가 제거되어 삽입된 콘텐츠가 자유롭게 실행된다.
해당 페이지는 Google Play, Microsoft Store, Amazon 등 신뢰받는 앱 스토어를 사칭하며, 그 뒤에서 온라인 도박과 스포츠 베팅을 노출한다.
Check Point는 이 공격의 주요 목적이 대규모 검색엔진 최적화(SEO) 조작이라고 분석했다. 브라질 정부 사이트를 다수 포함한 고신뢰도 도메인들이 연쇄적으로 악용되어 검색 순위를 인위적으로 끌어올리는 데 사용된다.
ANY.RUN은 7월에 브라질 지자체 및 경찰 소속 .gov.br 포털 최소 20곳이 PhantomEnigma로 명명한 캠페인에서 악성코드 배포에 활용됐다고 보고했다.
"이 정부 시스템들은 공격 배달 체계의 일부이지, 확인된 캠페인 표적은 아닙니다"라고 ANY.RUN은 7월 16일 공개한 보고서에서 밝혔다.
ANY.RUN은 침해된 .gov.br 및 .jus.br 호스트를 공격자 제어 인프라와 구분해 처리해야 하며, 일괄 차단 시 정부 자원에 대한 접근이 차단될 수 있다고 경고했다.
브라질은 2025년 1월 1일부터 법률 14,790/2023에 따라 고정 배당률 베팅을 허가하고, 브라질 도메인 등록기관 Registro.br를 통해 발급되는 .bet.br 도메인에서 사업자 운영을 승인했다.
Check Point는 침해된 서버를 통해 홍보되는 베팅 사이트들이 해당 허가를 보유하고 있는지 여부를 밝히지 않았다.
Check Point에 따르면 해당 그룹은 서버 침투 후 다음 도구들을 배포한다 -
- DownPro, 커스텀 다운로더
- AlphaAgent, 모듈형 백도어
- oRAT, 원격 접근 트로이목마(RAT)
- 3snake 기반 계정 정보 탈취 도구
- SSH 무차별 대입(brute-force) 도구
- 플러그인 기반 정찰 에이전트
공개된 3snake는 새로 생성된 sshd 및 sudo 프로세스에 ptrace를 붙여 패스워드 기반 인증 관련 문자열을 추출한다. 해당 도구의 문서에는 루팅된 서버를 대상으로 한다고 명시되어 있다.
The Hacker News는 2026년 9월 2일 GitHub에서 3snake 소스코드를 검토해 이 두 가지 사항을 확인했다. 침해된 서버 관리에 사용된 자격증명은 공격자가 제어하는 컴포넌트에 의해 읽힐 수 있다.
Check Point는 이 그룹이 초기 접근 권한을 어떻게 획득하는지 직접 확인하지 못했다고 밝혔다. 공격자 서버의 노출된 공개 디렉터리에서 정찰 및 스캐닝 플러그인이 번들된 Go 언어 기반 ELF 바이너리가 발견됐다.
현재까지 공개된 자료에는 침해된 서버 수와 Apache 인스턴스에 로드된 모듈을 관리자가 직접 확인할 수 있는 모듈 파일명, 경로, 해시가 포함되지 않았다.
베트남어·스페인어·영어로 현지화된 병행 피싱 네트워크도 확인됐으며, 매일 새 도메인을 생성하는 인프라도 식별됐다. 페이지가 이미 앱 다운로드 목적지를 모방하고 있으므로, Check Point는 공격자들이 "피해자에게 악성코드를 직접 배포하기까지 한 단계밖에 남지 않은 상태"라고 밝혔다.
공개된 요약본에는 피해 조직명이 없으며, 침해된 서버들이 정리됐는지도 밝히지 않았다.
Check Point는 이 클러스터를 Earth Berberoka와 연결 지었다. Earth Berberoka는 Trend Micro가 2022년에 중국어권 개인들에게 역사적으로 귀속된 악성코드 계열을 사용해 아시아 전역의 도박 웹사이트를 표적으로 삼은 행위자로 문서화한 바 있다.
해당 그룹과 연관된 Linux 백도어 Xnote는 2025년 3월 아시아 핵심 인프라 공격에서 보고됐다.
해당 툴셋에 포함된 Linux 도구 중 하나인 oRAT은 Trend Micro가 2022년 4월 Earth Berberoka 악성코드로 문서화했으며, Windows 및 macOS 샘플 모두 버전 0.5.1로 표기되어 있었다. The Hacker News는 2026년 9월 2일 Trend Micro의 연구를 기반으로 해당 출처를 확인했다.
ESET은 2025년 6월, 주로 브라질·태국·베트남의 Windows 서버 최소 65대가 GhostRedirector라는 행위자에 의해 침해됐다고 문서화했다. ESET은 중간 수준의 신뢰도로 해당 행위자를 중국 연계로 평가했으며, 공격자는 Gamshen이라는 네이티브 인터넷 정보 서비스(IIS) 모듈을 설치했다.
"GhostRedirector는 SEO 사기를 수행할 수 있는 악성 네이티브 IIS 모듈 Gamshen을 개발했으며, 그 목적은 다양한 도박 웹사이트를 인위적으로 홍보하는 것으로 판단된다"고 ESET은 밝혔다.
Gamshen은 요청이 Googlebot으로부터 올 때만 서버 응답을 변조했으며, 일반 방문자에게는 요청한 페이지를 그대로 제공했다.
Palo Alto Networks Unit 42는 2025년 9월 IIS 서버에서 동일한 역방향 프록시 기법을 문서화했다.
Hunt.io는 2025년 7월, 탈취된 gov.br 서브도메인에서 생성된 URL이 63만 개 이상이며, 실제 사용자를 베팅 사이트로 리다이렉션하는 동안 Googlebot에는 키워드가 가득한 정부 스타일 페이지를 제공했다고 밝혔다.
해당 회사는 수사가 진행되는 동안 브라질 정부 침해대응팀 CTIR와 협조해 일부 침해지표를 비공개로 처리했다.
"목표는 시스템을 침해하는 것이 아니었다. 가시성을 통제하는 것이었다"고 Hunt.io는 밝혔다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
