BengalSEO: la campagna di SEO poisoning che inquina i risultati di Bing e distribuisce malware MayaBot
- Punto chiave 1: BengalSEO sfrutta tecniche di SEO black‑hat per spingere pagine di truffa ai vertici dei risultati di Bing.
- Punto chiave 2: Il malware MayaBot, distribuito tramite una sofisticata catena di redirect, funge da C2 e miner di criptovalute XMRig.
- Punto chiave 3: L’infrastruttura si basa su piattaforme di hosting legittime (GitHub, Cloudflare, etc.) e su un sistema di tracciamento Matomo per profilare gli utenti.
Sentiment: BEARISH
BengalSEO è emerso come una delle più sofisticate campagne di SEO poisoning, in grado di inquinare i risultati di ricerca di Bing e di distribuire malware e truffe di tech‑support su scala globale. Dal 2015, operando principalmente nello stato indiano del Rajasthan, il gruppo ha sfruttato le competenze di due fornitori di servizi IT – WeConnect Solutions LLC (ex iConnect Soft Solutions LLC) e Garage2Global – per creare un ecosistema di pagine di truffa, redirect e analisi che inganna sia gli utenti sia i motori di ricerca.
Panoramica della campagna BengalSEO
La DFIR Report ha identificato BengalSEO come un cluster di attività che combina SEO black‑hat, web development e malware delivery. Il gruppo utilizza una rete di domini registrati tra agosto 2025 e marzo 2026, con una forte preferenza per TLD come .my, .shop e .info. La maggior parte delle registrazioni avviene tramite Spaceship (47,6%) e Namecheap (28,6%), mentre il 81,1% dei domini è protetto da Cloudflare, con Hostmaza che ospita l’origine per il 10% delle pagine.
Tecniche di SEO poisoning e manipolazione dei risultati di ricerca
BengalSEO impiega una combinazione di backlink massicci, DOM injection, DOM shuffling e keyword stuffing per spingere le pagine di truffa ai vertici dei risultati di Bing. Le pagine di truffa imitano portali di supporto tecnico, download di antivirus, software di gaming e attivazione di carte regalo. Un esempio noto è la pagina che sfrutta la ricerca “bitdefender central how to login” per indirizzare gli utenti verso un link fraudolento su readthedocs.io.
Il malware MayaBot e la sua distribuzione
Il malware principale, MayaBot, è stato in uso dal 2022. Una volta raggiunta la pagina di download, il file ZIP contiene un dropper JavaScript che, eseguito tramite wscript.exe, avvia MayaBot. Il malware funge da C2, monitora il sistema e installa un miner XMRig per criptovalute. In alcuni casi, la pagina finale non distribuisce malware ma reindirizza l’utente a una pagina di contatto, dove viene chiesto di chiamare un numero di truffa.
Infrastruttura di distribuzione e tracciamento
BengalSEO utilizza un Traffic Distribution System (TDS) sofisticato che gestisce il flusso di traffico, la performance della campagna e il cloaking. Il TDS funge da gatekeeper, guidando i visitatori attraverso una catena di redirect, mostrando prima un challenge Cloudflare Turnstile o hCaptcha per filtrare bot e crawler. Ogni pagina di truffa è dotata di uno script Matomo per il tracciamento client‑side, che invia dati a stats.us3.org. Oltre a Matomo, vengono usati Google Tag Manager e altri strumenti di analisi.
Utilizzo di piattaforme di hosting legittime
Il gruppo sfrutta la reputazione di piattaforme affidabili come github.io, pages.dev, sites.google.com e readthedocs.io per ospitare le pagine di truffa. Queste piattaforme, spesso associate a contenuti di qualità, aumentano la credibilità delle pagine e migliorano il posizionamento nei motori di ricerca.
Implicazioni per le aziende e le autorità
La campagna di BengalSEO evidenzia come i motori di ricerca, se non adeguatamente protetti, possano diventare veicoli per la diffusione di malware e truffe. Le autorità devono rafforzare i controlli sui contenuti di terze parti, migliorare i filtri di sicurezza di Bing e collaborare con i fornitori di servizi di hosting per identificare e rimuovere rapidamente le pagine di truffa.
Come proteggersi
- Verificare sempre l’URL prima di scaricare software o inserire credenziali.
- Utilizzare estensioni di browser che bloccano i redirect sospetti e i tracker.
- Implementare soluzioni di sicurezza che monitorano i domini sospetti e bloccano i redirect a domini noti per la distribuzione di malware.
- Collaborare con i fornitori di motori di ricerca per segnalare contenuti di truffa e migliorare gli algoritmi di rilevamento.
BengalSEO rappresenta una minaccia crescente per la sicurezza digitale globale, dimostrando come la combinazione di tecniche di SEO black‑hat e malware sofisticato possa creare un ecosistema di truffa altamente efficace. La vigilanza continua e la cooperazione internazionale sono essenziali per contrastare questa minaccia.
