Des pirates informatiques chinois détournent des serveurs Windows pour améliorer le classement Google de jeux d’argent
•
11 Sep 2025 •
Reading time: 2 minutes Des chercheurs en sécurité ont découvert qu’un groupe de pirates informatiques chinois avait pris le contrôle de dizaines de serveurs Windows afin d’améliorer artificiellement le classement de sites de jeux d’argent douteux sur Google. L’opération, baptisée GhostRedirector, a débuté fin 2024.
Selon les chercheurs d’ESET, au moins 65 serveurs ont été touchés. La plupart des attaques ont eu lieu en Amérique du Sud et en Asie du Sud, en particulier au Brésil, au Pérou, en Thaïlande et au Vietnam. Des serveurs infectés ont également été trouvés aux États-Unis, mais l’attaque y a été moins intense.
Le groupe utilise les nouveaux logiciels malveillants Rungan et Gamshen
Après avoir infiltré un serveur, les pirates ont installé divers outils. Parmi ceux-ci figuraient deux nouveaux logiciels malveillants : Rungan et Gamshen.
Rungan fonctionne comme une porte dérobée classique, permettant aux pirates de conserver l’accès au système. Gamshen a été développé pour manipuler les résultats de recherche. Le programme s’exécute directement sur le serveur web Windows et ne modifie que les réponses reçues par Googlebot. Rien ne change pour les visiteurs réguliers, ce qui signifie que l’attaque peut passer inaperçue pendant longtemps.
L’objectif est de faire remonter les sites de jeux d’argent dans Google
L’objectif de l’opération est d’injecter des backlinks et des textes SEO. Les pirates veulent les utiliser pour donner aux sites de jeux d’argent un meilleur classement dans les résultats de recherche Google.
Le danger est que les victimes ne remarquent souvent l’attaque que lorsque leur propre position dans Google chute soudainement ou lorsque Google émet un avertissement. À ce moment-là, les dégâts sont souvent déjà considérables.
Les attaques touchent plusieurs secteurs simultanément
ESET rapporte que les attaques ne visaient pas un seul secteur. Parmi les victimes figurent des établissements d’enseignement, des organismes de santé, des assureurs, des entreprises de transport, des entreprises technologiques et des magasins.
Les attaques ont probablement commencé par une injection SQL. Les pirates ont ensuite utilisé PowerShell pour télécharger des programmes supplémentaires qui leur ont donné plus de droits dans Windows. Dans la phase finale, ils ont installé Rungan et Gamshen.
Des chercheurs tels que Frank Kruit avertissent que ce type d’attaques est de plus en plus fréquent et que les entreprises doivent être vigilantes face à des changements inhabituels dans leurs résultats de recherche.