Avvelenamento SEO BengalSEO Distribuisce MayaBot e Truffe di Supporto Tecnico

I ricercatori di sicurezza informatica del DFIR Report hanno descritto in dettaglio una vasta operazione di avvelenamento dell'ottimizzazione per i motori di ricerca (SEO), monitorata come BengalSEO, che abusa dei risultati di Microsoft Bing per diffondere un malware personalizzato chiamato MayaBot e per indirizzare le vittime verso truffe di supporto tecnico. L'avvelenamento SEO significa che gli aggressori manipolano il modo in cui i motori di ricerca classificano le pagine in modo che i link dannosi appaiano vicino alla cima dei risultati per ricerche ordinarie. Il DFIR Report afferma di aver scoperto la campagna a marzo 2026 e che l'attività opera dallo stato indiano del Rajasthan dal 2015 almeno. Due fornitori di servizi IT, WeConnect Solutions LLC, ex iConnect Soft Solutions LLC, e Garage2Global, sono indicati come i motori dell'operazione. Sebbene Garage2Global si presenti come un'azienda di progettazione di siti web, SEO e marketing digitale, i ricercatori affermano di aver trovato prove che l'azienda costruisce infrastrutture web dannose utilizzate nel cluster di truffe BengalSEO.

L'operazione si basa su metodi SEO black hat come backlink, iniezione DOM, rimescolamento DOM e keyword stuffing. I backlink sono link da altri siti web, e il gruppo li crea su larga scala inondando forum e sezioni di commenti con spam generato dagli utenti che punta a pagine esca. L'iniezione DOM e il rimescolamento DOM manipolano il Document Object Model (DOM), l'insieme strutturato di elementi che compongono una pagina. Il rimescolamento DOM utilizza JavaScript incorporato per riordinare casualmente gli elementi HTML, consentendo a guide di configurazione identiche su centinaia di domini di apparire uniche ai crawler dei motori di ricerca e di sfuggire ai filtri antispam. Un esempio citato nel rapporto è una pagina di configurazione della smart TV Vizio che ha 2.000 backlink e 167 domini esterni unici che puntano ad essa. Le pagine esca imitano il supporto tecnico e i portali di attivazione del servizio per i servizi di streaming, e pubblicizzano download per strumenti antivirus, software di gioco, utilità fiscali e attivazione di carte di credito, assistenza sanitaria e regalo. In un esempio, una ricerca per 'bitdefender central how to login' porta a una pagina fraudolenta su readthedocs[.]io con un prominente pulsante 'Get Started' che inizia la catena di infezione.

Prima che una vittima raggiunga la pagina finale, il traffico passa attraverso un sistema di distribuzione del traffico (TDS), una catena di domini di reindirizzamento che funge da filtro e guardiano. Questi reindirizzamenti possono mostrare una sfida Cloudflare Turnstile o hCaptcha, un controllo progettato per separare le persone reali dagli scanner automatizzati, crawler e bot. Le pagine esca e di destinazione incorporano anche uno script di tracciamento Matomo, un servizio di analisi, per rilevare le impronte del browser e inviare informazioni sul visitatore al dominio stats.us3[.]org. Una ricerca per quel dominio su urlscan.io restituisce 1.112 risultati al momento della scrittura, in calo rispetto a 1.190 durante l'analisi. Sulle pagine esca ospitate su piattaforme come github.io e pages.dev, il gruppo utilizza anche Google Tag Manager per l'analisi. Alla fine della catena di reindirizzamento, la pagina di destinazione finale offre un link di download e istruzioni per software falso. Quando un utente fa clic sul pulsante 'Download for Windows', riceve un archivio ZIP e viene quindi reindirizzato alla pagina del software legittimo dopo 40 secondi. I domini osservati che consegnano payload includono ustechnio[.]com, tax.dll[.]lat, u320[.]my, reficon[.]pro, ñ[.]link e pltechoo[.]pro. All'interno del file ZIP c'è un dropper JavaScript per MayaBot che finge di essere il programma che la vittima voleva; quando viene eseguito, viene eseguito tramite wscript.exe e inizia l'infezione. MayaBot è stato utilizzato da BengalSEO dal 2022 per fornire command-and-control (C2), un canale privato per inviare istruzioni ai computer infetti, monitorare il sistema e installare un miner di criptovaluta XMRig. In alcuni casi, nessun payload viene servito: la vittima invece atterra su una pagina di contatto che dice loro di chiamare un numero di telefono truffaldino per attività sospette legate al loro account Bitdefender Central.

Il gruppo abusa della fiducia delle piattaforme di hosting legittime, tra cui github.io, pages.dev, sites.google.com e readthedocs.io, perché questi servizi portano una reputazione che i motori di ricerca valutano favorevolmente. Il DFIR Report ha identificato 84 account GitHub BengalSEO attivi tra gennaio 2024 e marzo 2026. Guardando la cronologia dei commit, che registra ogni modifica apportata a un progetto, i ricercatori hanno trovato indirizzi email legati ai domini Garage2Global come wc[.]ci. Un campione include activate-uhc-com-ucard collegato a archi.jaing.2g@gmail.com, activate-uhc-helpbook collegato a kamre@wc.ci, capitalonecredit collegato a gracyurvashi36g2g@gmail.com, help-line-center collegato a janvig2g@gmail.com e snehajaing2g collegato a snehajaing2g@gmail.com. Le pagine esca vengono costantemente aggiornate tramite commit per ruotare i domini di reindirizzamento o sostituirli temporaneamente con URL legittimi, così i domini bloccati o rimossi possono essere scambiati senza ricostruire le pagine. La maggior parte dell'infrastruttura BengalSEO è stata registrata intorno ad agosto 2025 e successivamente, con una maggiore attività tra la fine del 2025 e l'inizio del 2026. I domini sono stati registrati con domini di primo livello .my, .shop e .info. Tra il 2023 e il 2026, Spaceship ha rappresentato il 47,6% delle registrazioni e Namecheap il 28,6%, mentre Cloudflare ha gestito l'81,1% dell'hosting come proxy di traffico e Hostmaza è stato l'host di origine per il 10,0% dei domini. Un account che gestisce domini di reindirizzamento tra cui wapp[.]live è stato sospeso da Hostmaza all'inizio di quest'anno.

In una divulgazione correlata, Check Point Research ha descritto una campagna separata in corso che ha preso di mira istituzioni governative ed educative brasiliane da metà 2025 per trasformare i loro siti web in strumenti per la manipolazione SEO. Questa attività è attribuita a un cluster di criminalità informatica di lingua cinese chiamato Gambling Goblin, che ha legami con Earth Berberoka, noto anche come GamblingPuppet, un gruppo noto per attaccare siti di gioco d'azzardo in tutta l'Asia dal 2020 almeno. Check Point ha affermato che il gruppo opera reti di phishing localizzate in portoghese, vietnamita, spagnolo e inglese e mantiene un'infrastruttura che genera nuovi domini quotidianamente, suggerendo un modello costruito per una scala globale piuttosto che un esperimento regionale. Gli aggressori installano moduli Apache dannosi sui server delle vittime che fanno da reverse proxy ai visitatori verso pagine di phishing controllate dagli aggressori, il che significa che il traffico sembra ancora provenire dal dominio legittimo. Le intestazioni Content-Security-Policy (CSP) del sito stesso, che dicono ai browser quale contenuto può essere caricato, vengono rimosse così le pagine iniettate possono essere eseguite senza essere bloccate. Una volta dentro, gli aggressori implementano un toolkit Linux che include un downloader personalizzato scritto nel linguaggio di programmazione Go chiamato DownPro, diverse backdoor, strumenti segreti di accesso remoto, chiamati AlphaAgent, ChUser e oRAT per il controllo remoto, un ladro di password basato su 3snake, un brute-forcer SSH che indovina ripetutamente le password per ottenere l'accesso, e un agente di ricognizione guidato da plugin. Il percorso esatto di accesso iniziale è sconosciuto. Le pagine di phishing imitano app store come Google Play, Microsoft Store e Amazon, usando questi nomi di alta reputazione per gonfiare i ranking di ricerca e reindirizzare i visitatori a siti di gioco d'azzardo e scommesse sportive online. Check Point osserva che la stessa infrastruttura potrebbe essere utilizzata per spingere malware direttamente alle vittime. Per i proprietari di siti web, entrambe le campagne sono un promemoria che gli aggressori prendono attivamente in prestito la reputazione di host e domini fidati; un servizio di hosting gestito come AEU Hosting, che fornisce hosting WordPress sicuro con monitoraggio e aggiornamenti gestiti per te, può ridurre la possibilità che il tuo dominio diventi una di quelle piattaforme abusate.