Como cibercriminosos driblam o Google para promover golpe em sites de apostas
Quem costuma pesquisar no Google novas plataformas de apostas em busca de novidade pode não imaginar, mas parte dos resultados exibidos pode estar sendo manipulada por criminosos digitais. Um levantamento da empresa de segurança ESET revelou a existência do GhostRedirector, grupo identificado recentemente e ligado a operações originadas na China. O objetivo deles? Transformar servidores invadidos em ferramentas para impulsionar artificialmente sites de apostas ilegais.
Como funciona o golpe
O esquema funciona com uma combinação de softwares maliciosos que permitem invadir e permanecer escondido dentro de servidores Windows. Dois programas são os principais: Rungan, um backdoor em C++ que dá controle remoto ao invasor, e Gamshen, um módulo desenvolvido para o Internet Information Services (IIS), plataforma usada para hospedar sites em Windows.
Enquanto o primeiro garante acesso e execução de comandos à distância, o segundo é a peça-chave para a fraude de SEO. Ele consegue mostrar conteúdos diferentes dependendo de quem acessa o site: para usuários comuns, a página permanece normal, mas quando o acesso vem do Googlebot (o robô de indexação do Google) o sistema injeta códigos que fazem sites suspeitos ganharem destaque no ranking de resultados. Essa prática é chamada de cloaking, e já foi usada em outros contextos, como esquemas de propaganda enganosa e até golpes de phishing. No caso do GhostRedirector, o truque serviu para dar mais visibilidade a plataformas de apostas sem registro oficial.
Alcance internacional
De acordo com a investigação da ESET, entre dezembro de 2024 e abril de 2025 o grupo conseguiu comprometer pelo menos 65 servidores Windows em diferentes países. Os principais alvos foram Brasil, Tailândia, Vietnã e Estados Unidos, mas também houve registros de vítimas no Peru, Canadá, Finlândia, Índia, Países Baixos, Filipinas e Singapura.
Os servidores comprometidos pertenciam a empresas de setores variados como educação, saúde, seguros, transporte e varejo. Muitos deles estavam hospedados em data centers americanos, mas contratados por companhias da América Latina e da Ásia, o que indica uma estratégia voltada a essas regiões.
Mas o impacto não se resume à invasão em si. Os sites que hospedam conteúdos legítimos acabam tendo sua reputação manchada, já que o Google pode aplicar punições contra páginas que utilizam técnicas de manipulação de SEO.
Os analistas da ESET comentaram que o GhostRedirector não se limitou apenas em instalar malwares. Eles tiveram a preocupação de garantir acesso de longo prazo, criando contas de usuário falsas, explorando falhas conhecidas para aumentar os privilégios de administrador e espalhando diferentes tipos de backdoors. Outro detalhe curioso foi a descoberta de códigos e senhas com termos em mandarim e certificados digitais emitidos por empresas chinesas. Ainda assim, os especialistas evitam uma atribuição definitiva, já que esses sinais podem ser manipulados para enganar a investigação.
Risco para empresas e usuários
Para o usuário comum, o golpe passa despercebido, já que o conteúdo não aparece durante a navegação. Porém, para as empresas que tiveram seus servidores usados, o problema é sério: além de servir de vitrine para sites ilegais, elas ficam sujeitas a quedas no ranqueamento e até bloqueios de indexação.
Esse tipo de ataque também nos leva a outra consequência ainda maior: a crescente associação entre cibercrime e manipulação de mecanismos de busca. Diferente de golpes tradicionais, em que o usuário percebe páginas estranhas ou links suspeitos, nesse caso os criminosos agem por trás de links “normais”, explorando brechas técnicas para transformar a própria infraestrutura da internet em aliada.
A ESET recomenda que administradores de sistemas revisem cuidadosamente seus servidores IIS em busca de módulos desconhecidos ou DLLs suspeitas. É importante também monitorar atividades não normais da operação, como criação de contas ou execuções incomuns.
Manter sistemas atualizados, aplicar correções de segurança e adotar soluções de monitoramento são práticas essenciais para reduzir os riscos. As companhias afetadas precisam realizar auditorias internas para garantir que todas as brechas foram fechadas, já que o GhostRedirector se mostrou bem preparado para se manter ativo.
