BengalSEO SEO-Vergiftung liefert MayaBot und Tech-Support-Betrug aus

Cybersicherheitsforscher des DFIR Report haben eine große Suchmaschinen-Optimierungs-Kampagne (SEO) detailliert beschrieben, die als BengalSEO verfolgt wird und Microsoft-Bing-Ergebnisse missbraucht, um eine benutzerdefinierte Malware namens MayaBot zu verbreiten und Opfer in Tech-Support-Betrug zu locken. SEO-Vergiftung bedeutet, dass Angreifer die Art und Weise manipulieren, wie Suchmaschinen Seiten ranken, sodass bösartige Links bei gewöhnlichen Suchanfragen nahe der Spitze der Ergebnisse erscheinen. Der DFIR Report sagt, er habe die Kampagne im März 2026 entdeckt und dass die Aktivität seit mindestens 2015 aus dem indischen Bundesstaat Rajasthan betrieben werde. Zwei IT-Dienstleister, WeConnect Solutions LLC, ehemals iConnect Soft Solutions LLC, und Garage2Global, werden als treibende Kräfte der Operation genannt. Obwohl sich Garage2Global als Webdesign-, SEO- und Digitalmarketing-Unternehmen präsentiert, sagen die Forscher, sie hätten Beweise gefunden, dass das Unternehmen bösartige Web-Infrastruktur baut, die im BengalSEO-Betrugscluster verwendet wird.

Die Operation stützt sich auf Black-Hat-SEO-Methoden wie Backlinks, DOM-Injektion, DOM-Shuffling und Keyword-Stuffing. Backlinks sind Links von anderen Websites, und die Gruppe erstellt sie in großem Umfang, indem sie Foren und Kommentarbereiche mit nutzergeneriertem Spam flutet, der auf Lockseiten verweist. DOM-Injektion und DOM-Shuffling manipulieren das Document Object Model (DOM), die strukturierte Menge von Elementen, die eine Seite ausmachen. DOM-Shuffling verwendet eingebettetes JavaScript, um die HTML-Elemente zufällig neu anzuordnen, sodass identische Einrichtungsanleitungen auf Hunderten von Domains für Suchmaschinen-Crawler einzigartig aussehen und an Spamfiltern vorbeischlüpfen können. Ein im Bericht genanntes Beispiel ist eine Vizio-Smart-TV-Einrichtungsseite mit 2.000 Backlinks und 167 eindeutigen externen Domains, die darauf verlinken. Die Lockseiten imitieren technische Support- und Serviceaktivierungsportale für Streaming-Dienste und bewerben Downloads für Antiviren-Tools, Gaming-Software, Steuerprogramme und die Aktivierung von Kredit-, Gesundheits- und Geschenkkarten. In einem Beispiel führt eine Suche nach „bitdefender central how to login“ zu einer betrügerischen Seite auf readthedocs[.]io mit einem prominenten „Get Started“-Button, der die Infektionskette startet.

Bevor ein Opfer die endgültige Seite erreicht, durchläuft der Datenverkehr ein Traffic-Distribution-System (TDS), eine Kette von Redirect-Domains, die als Filter und Torwächter fungiert. Diese Weiterleitungen können eine Cloudflare-Turnstile- oder hCaptcha-Herausforderung zeigen, eine Prüfung, die echte Personen von automatisierten Scannern, Crawlern und Bots unterscheiden soll. Die Lock- und Zielseiten betten auch ein Matomo-Tracking-Skript ein, einen Analysedienst, um den Browser zu fingerabzudrucken und Informationen über den Besucher an die Domain stats.us3[.]org zu senden. Eine Suche nach dieser Domain auf urlscan.io liefert zum Zeitpunkt des Schreibens 1.112 Ergebnisse, gegenüber 1.190 während der Analyse. Auf Lockseiten, die auf Plattformen wie github.io und pages.dev gehostet werden, verwendet die Gruppe auch Google Tag Manager für Analysen. Am Ende der Redirect-Kette bietet die endgültige Zielseite einen Download-Link und Anweisungen für gefälschte Software. Wenn ein Benutzer auf die Schaltfläche „Download for Windows“ klickt, erhält er ein ZIP-Archiv und wird dann nach 40 Sekunden auf die legitime Softwareseite umgeleitet. Domains, die beim Bereitstellen von Payloads beobachtet wurden, umfassen ustechnio[.]com, tax.dll[.]lat, u320[.]my, reficon[.]pro, ñ[.]link und pltechoo[.]pro. Im ZIP-Archiv befindet sich ein JavaScript-Dropper für MayaBot, der vorgibt, das Programm zu sein, das das Opfer wollte; wenn es ausgeführt wird, läuft es über wscript.exe und startet die Infektion. MayaBot wird von BengalSEO seit 2022 verwendet, um Command-and-Control (C2) bereitzustellen, einen privaten Kanal zum Senden von Anweisungen an infizierte Computer, das System zu überwachen und einen XMRig-Cryptocurrency-Miner zu installieren. In einigen Fällen wird keine Payload ausgeliefert: Das Opfer landet stattdessen auf einer Kontaktseite, die es auffordert, eine betrügerische Telefonnummer anzurufen, die mit verdächtigen Aktivitäten im Zusammenhang mit seinem Bitdefender-Central-Konto steht.

Die Gruppe missbraucht das Vertrauen legitimer Hosting-Plattformen wie github.io, pages.dev, sites.google.com und readthedocs.io, da diese Dienste einen Ruf haben, den Suchmaschinen positiv bewerten. Der DFIR Report identifizierte zwischen Januar 2024 und März 2026 84 aktive BengalSEO-GitHub-Konten. Bei der Untersuchung der Commit-Historie, die jede an einem Projekt vorgenommene Änderung aufzeichnet, fanden Forscher E-Mail-Adressen, die mit Garage2Global-Domains wie wc[.]ci verbunden sind. Eine Stichprobe umfasst activate-uhc-com-ucard verknüpft mit archi.jaing.2g@gmail.com, activate-uhc-helpbook verknüpft mit kamre@wc.ci, capitalonecredit verknüpft mit gracyurvashi36g2g@gmail.com, help-line-center verknüpft mit janvig2g@gmail.com und snehajaing2g verknüpft mit snehajaing2g@gmail.com. Die Lockseiten werden ständig durch Commits aktualisiert, um Redirect-Domains zu rotieren oder sie vorübergehend durch legitime URLs zu ersetzen, sodass blockierte oder entfernte Domains ausgetauscht werden können, ohne die Seiten neu erstellen zu müssen. Der größte Teil der BengalSEO-Infrastruktur wurde um August 2025 und später registriert, mit erhöhter Aktivität im späten 2025 und frühen 2026. Domains wurden unter den Top-Level-Domains .my, .shop und .info registriert. Zwischen 2023 und 2026 entfielen auf Spaceship 47,6 Prozent der Registrierungen und auf Namecheap 28,6 Prozent, während Cloudflare 81,1 Prozent des Hostings als Verkehrsproxy abwickelte und Hostmaza für 10,0 Prozent der Domains der Ursprungshost war. Ein Konto, das Redirect-Domains wie wapp[.]live verwaltete, wurde Anfang dieses Jahres von Hostmaza suspendiert.

In einer damit zusammenhängenden Offenlegung beschrieb Check Point Research eine separate laufende Kampagne, die seit Mitte 2025 brasilianische Regierungs- und Bildungseinrichtungen ins Visier genommen hat, um ihre Websites in Werkzeuge für SEO-Manipulation zu verwandeln. Diese Aktivität wird einem chinesischsprachigen Cyberkriminalitäts-Cluster namens Gambling Goblin zugeschrieben, das Verbindungen zu Earth Berberoka, auch bekannt als GamblingPuppet, hat, einer Gruppe, die seit mindestens 2020 für Angriffe auf Glücksspiel-Websites in ganz Asien bekannt ist. Check Point sagte, die Gruppe betreibe lokalisierte Phishing-Netzwerke auf Portugiesisch, Vietnamesisch, Spanisch und Englisch und unterhalte eine Infrastruktur, die täglich neue Domains generiere, was auf ein Modell schließen lasse, das für globale Reichweite und nicht für ein regionales Experiment ausgelegt sei. Die Angreifer installieren bösartige Apache-Module auf Opferservern, die Besucher per Reverse-Proxy auf vom Angreifer kontrollierte Phishing-Seiten umleiten, sodass der Datenverkehr weiterhin von der legitimen Domain zu stammen scheint. Die Content-Security-Policy-Header (CSP) der Website, die dem Browser mitteilen, welche Inhalte geladen werden dürfen, werden entfernt, sodass injizierte Seiten ohne Blockierung ausgeführt werden können. Einmal im Inneren setzen die Angreifer ein Linux-Toolkit ein, das einen benutzerdefinierten Downloader namens DownPro, der in der Programmiersprache Go geschrieben ist, mehrere Backdoors, geheime Fernzugriffs-Tools namens AlphaAgent, ChUser und oRAT zur Fernsteuerung, einen auf 3snake basierenden Passwortdieb, einen SSH-Brute-Forcer, der wiederholt Passwörter errät, um Zugang zu erhalten, und einen plugin-gesteuerten Aufklärungsagenten umfasst. Der genaue anfängliche Zugriffsweg ist unbekannt. Die Phishing-Seiten imitieren App-Stores wie Google Play, Microsoft Store und Amazon und nutzen diese hochangesehenen Namen, um Suchrankings zu erhöhen und Besucher auf Online-Glücksspiel- und Sportwetten-Seiten umzuleiten. Check Point merkt an, dass dieselbe Infrastruktur verwendet werden könnte, um Malware direkt an Opfer zu liefern. Für Website-Besitzer sind beide Kampagnen eine Erinnerung daran, dass Angreifer aktiv den Ruf vertrauenswürdiger Hosts und Domains ausleihen; ein verwalteter Hosting-Dienst wie AEU Hosting, der gesichertes WordPress-Hosting mit Überwachung und Updates für Sie bietet, kann die Wahrscheinlichkeit verringern, dass Ihre eigene Domain zu einer dieser missbrauchten Plattformen wird.