BengalSEO avvelena Bing: falsi download portano MayaBot e truffe di assistenza

🛡️ Executive Summary

• BengalSEO manipola i risultati Bing attraverso backlink spam, keyword stuffing, DOM injection e pagine ospitate anche su servizi legittimi ad alta reputazione.
• Un Traffic Distribution System filtra vittime, crawler e ricercatori prima di consegnare MayaBot oppure reindirizzare verso falsi servizi di assistenza tecnica.
• MayaBot viene utilizzato almeno dal 2022 per comando e controllo, monitoraggio dell’host e distribuzione del cryptominer XMRig.

Una ricerca apparentemente innocua su Bing può terminare con l’installazione di malware o con una telefonata a un falso centro di assistenza. È il modello costruito da BengalSEO, operazione individuata dal DFIR Report nel marzo 2026 e ricondotta a un ecosistema attivo dal Rajasthan, in India, almeno dal 2015. La campagna utilizza tecniche professionali di black hat SEO, migliaia di backlink, pagine esca e un sofisticato Traffic Distribution System per manipolare il traffico generato dai motori di ricerca. Il payload principale è MayaBot, malware personalizzato utilizzato almeno dal 2022, ma la stessa infrastruttura può decidere di non consegnare alcun file e spingere la vittima direttamente verso una truffa di supporto tecnico.

BengalSEO manipola Bing invece di comprare semplicemente annunci

La ricerca originaria del DFIR Report descrive BengalSEO come un’operazione costruita attorno a competenze reali di SEO e sviluppo Web, non a una semplice campagna di malvertising. Gli operatori creano centinaia di pagine apparentemente dedicate ad assistenza tecnica, attivazione di servizi, download antivirus, gaming, carte sanitarie o servizi fiscali e lavorano per farle comparire nelle prime posizioni di Microsoft Bing.

Tra le query documentate compare ad esempio bitdefender central how to login, per la quale una pagina falsa ospitata su ReadTheDocs imitava un portale di assistenza e mostrava un grande pulsante “Get Started”. La tecnica differisce dal caso FakeAgent che utilizzava veri annunci sponsorizzati Bing per distribuire SectopRAT attraverso un falso Claude Desktop: BengalSEO prova a conquistare direttamente il ranking organico, trasformando il motore di ricerca stesso nel primo anello della catena.

Migliaia di backlink vengono creati attraverso forum e commenti spam

Uno degli strumenti principali è la costruzione artificiale dell’autorità delle pagine. Il DFIR Report ha osservato casi con circa 1.900-2.000 backlink diretti verso una singola esca e centinaia di domini esterni coinvolti. Gli operatori inseriscono collegamenti in forum, sezioni commenti e altri contenuti generati dagli utenti, accompagnandoli con messaggi apparentemente utili come istruzioni per configurare una Smart TV o attivare un servizio.

Il volume serve a convincere gli algoritmi che la pagina possieda una rilevanza superiore a quella reale. BengalSEO combina questa strategia con keyword stuffing, inserendo ripetutamente nelle pagine termini collegati alle query che vuole intercettare. La dinamica richiama Storm-2561, che aveva clonato portali VPN e utilizzato SEO poisoning per portare falsi client Fortinet e Ivanti davanti ai download originali, ma BengalSEO porta l’avvelenamento del ranking su una scala molto più industriale.

Leggi anche: Gambling Goblin usa domini governativi brasiliani per avvelenare i risultati dei motori di ricerca

DOM shuffling rende centinaia di pagine identiche diverse agli occhi dei crawler

La quantità di contenuti non basta se i motori riconoscono che centinaia di domini pubblicano lo stesso template. Per questo BengalSEO utilizza DOM shuffling, cioè JavaScript che modifica dinamicamente l’ordine degli elementi HTML senza alterare sostanzialmente ciò che vede l’utente. Lo stesso tutorial o portale di attivazione può quindi assumere strutture DOM differenti su domini diversi, riducendo l’efficacia dei filtri antispam basati sulle somiglianze strutturali. A questo si aggiunge DOM injection: alcune pagine utilizzano JavaScript offuscato per costruire un dominio typosquatted simile a ajax.googleapis.com e recuperare contenuti dinamici da un file presentato come normale stylesheet CSS. Il risultato è un’infrastruttura dove parte del contenuto utilizzato per ranking e redirect non deve necessariamente essere presente direttamente nel sorgente statico esaminato da un crawler o da un sistema automatico di sicurezza. Il principio è affine a quello osservato con WeedHack, che utilizzava falsi siti Minecraft e contenuti ottimizzati per ottenere posizioni elevate nei risultati di ricerca, ma BengalSEO aggiunge un livello molto più elaborato di manipolazione strutturale.

GitHub Pages, Cloudflare Pages e ReadTheDocs prestano reputazione alle esche

Gli operatori non utilizzano soltanto domini appena registrati. Il DFIR Report ha documentato pagine ospitate su github.io, pages.dev, sites.google.com e readthedocs.io, servizi legittimi che possiedono già reputazione, certificati validi e una storia consolidata agli occhi dei motori di ricerca. Questa scelta offre due vantaggi: rende il collegamento meno sospetto per l’utente e permette di ereditare parte dell’affidabilità algoritmica del dominio principale. La stessa dinamica è ormai ricorrente nelle campagne criminali che sfruttano infrastrutture dedicate agli sviluppatori, come mostrano gli oltre 800 repository GitHub falsi creati per essere scoperti dagli agenti AI nella campagna AgentBaiting. Nel caso BengalSEO il DFIR Report ha contato 84 account GitHub attivi tra gennaio 2024 e marzo 2026, utilizzati per creare e aggiornare pagine esca. La cronologia dei commit ha inoltre fatto emergere indirizzi email collegabili all’infrastruttura analizzata dai ricercatori.

Il TDS decide se mostrare malware, truffa o niente

Una volta ottenuto il clic, BengalSEO non manda immediatamente la vittima al payload. Il traffico passa attraverso un Traffic Distribution System, una catena di redirect che misura caratteristiche del visitatore e decide cosa mostrargli. Alcuni domini visualizzano Cloudflare Turnstile o hCaptcha per eliminare crawler, scanner automatici e sandbox. Le pagine integrano inoltre Matomo per raccogliere informazioni sul browser e fingerprintare il visitatore, inviando i dati a stats.us3[.]org; altre esche ospitate su piattaforme legittime utilizzano Google Tag Manager. Il TDS funziona quindi come un cancello: un ricercatore di sicurezza, un bot del motore di ricerca e una vittima reale possono ricevere contenuti differenti. Questa capacità di cloaking è fondamentale per mantenere le pagine indicizzate senza mostrare sempre il comportamento malevolo agli strumenti che potrebbero rilevarlo. È anche ciò che rende meno efficace una verifica manuale occasionale: aprendo il collegamento in un momento o da un ambiente differente si può ricevere una pagina perfettamente innocua.

MayaBot arriva dentro uno ZIP e usa JavaScript come dropper

Quando il sistema decide di consegnare malware, la vittima raggiunge una pagina finale che simula il download del software cercato. Premendo “Download for Windows” viene scaricato un archivio ZIP contenente un JavaScript dropper presentato come componente del programma. Il file viene eseguito attraverso wscript.exe e avvia la catena di MayaBot, malware personalizzato che il DFIR Report attribuisce all’operazione almeno dal 2022. MayaBot offre funzionalità di command-and-control, monitoraggio del sistema e distribuzione di payload aggiuntivi, tra cui il cryptominer XMRig. Dopo circa 40 secondi la pagina può reindirizzare l’utente verso il vero sito del software, facendo apparire l’esperienza come un download che ha semplicemente impiegato qualche momento a partire. La tecnica sfrutta quindi un comportamento umano prevedibile: una volta trovato il programma cercato attraverso Bing e completato il download, pochi utenti tornano a controllare da quale dominio provenisse effettivamente l’archivio.

In altri casi il malware scompare e compare il numero del falso supporto

BengalSEO può monetizzare lo stesso traffico senza consegnare alcun payload. Alcune pagine terminano su falsi avvisi relativi a problemi di sicurezza o attività sospette dell’account e invitano l’utente a telefonare a un numero di assistenza. A quel punto la compromissione passa completamente dal Web al call center. Il falso tecnico può chiedere l’installazione di software remoto, credenziali, pagamenti o altre informazioni sensibili utilizzando come elemento di fiducia proprio il fatto che sia stato l’utente a trovare autonomamente il numero attraverso Bing. È una caratteristica psicologica importante: la vittima non percepisce di avere ricevuto un phishing, perché ritiene di avere avviato personalmente la ricerca. La falsa assistenza tecnica continua quindi ad adattarsi alle nuove infrastrutture, come emerso nelle campagne aziendali che utilizzavano email e servizi cloud per spingere le vittime verso falsi tecnici.

WeConnect e Garage2Global emergono nell’attribuzione del DFIR Report

La ricerca collega BengalSEO a un ecosistema attivo dal Rajasthan e individua due società di servizi IT, WeConnect Solutions LLC, precedentemente iConnect Soft Solutions LLC, e Garage2Global, come elementi centrali dell’infrastruttura analizzata. Garage2Global si presenta pubblicamente come provider di sviluppo Web, SEO e marketing digitale; il DFIR Report sostiene però di avere trovato elementi tecnici che collegherebbero personale, domini, account GitHub e infrastrutture utilizzate nelle campagne BengalSEO. L’attribuzione deriva da un insieme di email nei commit, registrazioni dei domini, account, cronologie e sovrapposizioni infrastrutturali. Trattandosi di accuse formulate da un gruppo di ricerca privato e non di conclusioni giudiziarie, vanno mantenute come attribuzione tecnica del DFIR Report, non come responsabilità penalmente accertata. I ricercatori descrivono comunque l’operazione come finanziariamente motivata e attiva da almeno un decennio.

Continua con:

• Lazarus usa SEO poisoning e falsi siti Enveil per distribuire SecurityPDF
• BoryptGrab sfrutta repository GitHub falsi, SEO poisoning e DLL side-loading

Il motore di ricerca non può più essere considerato una verifica di autenticità

BengalSEO dimostra quanto sia diventato fragile uno dei comportamenti più comuni degli utenti: cercare il nome di un prodotto e cliccare uno dei primi risultati. Per anni il ranking è stato percepito implicitamente come un filtro reputazionale. Le campagne moderne dimostrano invece che backlink industrializzati, servizi di hosting affidabili, manipolazione del DOM, TDS e cloaking possono spingere contenuti malevoli abbastanza in alto da competere con i siti originali. Le organizzazioni dovrebbero quindi impedire l’installazione di software proveniente da directory Download non autorizzate, utilizzare allowlist applicative, controllare l’esecuzione di wscript.exe e formare gli utenti a raggiungere i download direttamente dai domini ufficiali dei vendor. La misura più semplice rimane spesso la più efficace: un software cercato su Bing o Google non dovrebbe essere installato perché il risultato appare in alto, ma perché il dominio è stato verificato come quello ufficiale. BengalSEO ha industrializzato esattamente lo spazio che esiste tra queste due azioni.