BengalSEO avvelena Bing per distribuire malware e truffe tech support dal 2015

Il gruppo criminale informatico BengalSEO, operativo dal Rajasthan indiano almeno dal 2015, manipola sistematicamente i risultati di ricerca Bing per distribuire il malware MayaBot e pilotare truffe di supporto tecnico. La scoperta, documentata dal DFIR Report nel marzo 2026 e riportata da The Hacker News, espone un ecosistema di due provider IT formalmente registrati che convertono competenze legittime in SEO, sviluppo web e digital marketing in infrastruttura malevola. La campagna sfrutta piattaforme di alta reputazione — GitHub, Cloudflare, Google Sites, ReadTheDocs — rendendo invisibile la linea tra hosting legittimo e abuso strutturato.

Come funziona il SEO poisoning di BengalSEO

La tecnica si articola in tre fasi: avvelenamento dell'indicizzazione, filtraggio selettivo del traffico e biforcazione finale tra malware o truffa. Le pagine esca impersonano portali di supporto tecnico, attivazione streaming, download antivirus, software gaming, utilità fiscali e attivazione carte. Un esempio documentato: la query "bitdefender central how to login" dirotta su readthedocs[.]io, dove un pulsante "Get Started" innesca la catena di infezione.

Il posizionamento su Bing avviene attraverso manipolazione aggressiva di segnali di trust. Il DFIR Report cita "backlinks, DOM injection, DOM shuffling, and keyword stuffing" come tecniche standard. Il DOM shuffling — riordinamento dinamico degli elementi HTML tramite JavaScript — randomizza la struttura del Document Object Model per apparire unica ai crawler, eludendo i filtri di duplicazione. Una sola pagina esca Vizio accumula 2.000 backlink da 167 domini esterni unici. Il gruppo genera questa massa di link attraverso spam aggressivo di contenuti generati dagli utenti, secondo la citazione del DFIR Report riportata da The Hacker News.

Il traffic distribution system rappresenta il secondo anello. Matomo traccia il browser della vittima e invia i dati a stats.us3[.]org, con 1.112 risultati documentati su urlscan.io al momento della stesura. Il TDS impiega Cloudflare Turnstile o hCaptcha come challenge-response per escludere scanner automatici prima di esporre il payload. La biforcazione finale è netta: in un ramo, un archivio ZIP contenente un JavaScript dropper per MayaBot si maschera da eseguibile e viene avviato via wscript.exe; nell'altro, nessun payload viene servito e la vittima viene reindirizzata a una pagina con numero telefonico per truffa tech support. The Hacker News documenta un ritardo di 40 secondi prima del reindirizzamento a una pagina software legittima dopo il download ZIP, probabile tattica di riduzione del sospetto.

L'infrastruttura parassitaria su piattaforme legitime

Il paradosso operativo di BengalSEO risiede nella sua dipendenza da piattaforme tecnicamente affidabili, trasformate in pilastri inconsapevoli dell'infrastruttura malevola. I repository su GitHub, i siti su Google Sites, le pagine su Cloudflare Pages e la documentazione su ReadTheDocs non sono compromessi tecnicamente: sono abusati attraverso account legittimi, con contenuti che sfruttano la reputazione del dominio padre per aggirare i filtri basati sulla lista bianca.

Il DFIR Report ha identificato 84 account GitHub attivi tra gennaio 2024 e marzo 2026. La commit history rivela email con domini associati a Garage2Global, in particolare il pattern "wc[.]ci" e la ricorrenza "2g" o "g2g" — probabile abbreviazione di Garage2Global. Esempi documentati: l'account "activate-uhc-com-ucard" con email archi.jaing.2g@gmail.com, e "capitalonecredit" con gracyurvashi36g2g@gmail.com. The Hacker News riporta che "Matomo was not the only analytics system used by BengalSEO, lure pages on hosting platforms such as github.io and pages.dev instead typically use analytics services such as Google Tag Manager".

La registrazione di dominio mostra concentrazione su registrar specifici: tra il 2023 e il 2026, Spaceship concentra il 47,6% delle registrazioni e Namecheap il 28,6%. Per l'hosting, Cloudflare domina con l'81,1% dei domini come proxy traffico, mentre Hostmaza funge da origin host per il 10,0%. Il bulk dell'infrastruttura si registra da agosto 2025 in poi, con picco di attività tra fine 2025 e primi 2026. Un account Hostmaza per il dominio wapp[.]live è stato sospeso all'inizio del 2026, ma la continuità operativa suggerisce ridondanza infrastrutturale.

Da provider IT a operatore criminale: la doppia faccia di Garage2Global

L'elemento più destabilizzante per il modello di trust del settore è la sovrapposizione tra identità commerciale legittima e attività malevola. Garage2Global dichiara pubblicamente servizi di web design, SEO e digital marketing. Il DFIR Report, citato da The Hacker News, ha "unearthed evidence indicating the company develops malicious web infrastructure used in SEO poisoning campaigns". WeConnect Solutions LLC, precedentemente nota come iConnect Soft Solutions LLC, compare come secondo attore, ma il dossier non decompone il ruolo esatto di ciascuno nella catena operativa. Non è chiaro se entrambe le entità siano consapevoli della duplice attività, o se una funga da front innocente dell'altra.

Questa ambiguità rende inefficaci i tradizionali controlli di due diligence basati su registrazione aziendale e presenza online. Un'azienda con clienti reali, portfolio pubblico e profili social attivi può simultaneamente alimentare un'operazione criminale di oltre un decennio, sfruttando la stessa expertise tecnica — ottimizzazione per motori di ricerca, sviluppo web, automazione — in entrambi i domini.

"This group utilizes its extensive SEO and web development capabilities to create and promote lure pages with multiple Black Hat SEO techniques" — DFIR Report, citato da The Hacker News

Cosa fare adesso

Per gli utenti, la query di supporto tecnico su Bing richiede verifica incrociata: il dominio readthedocs[.]io o github[.]io in un risultato di ricerca per "bitdefender central how to login" è indicatore di anomalia, non di affidabilità. Il pulsante "Get Started" su documentazione apparentemente ufficiale può innescare download ZIP con JavaScript dropper per MayaBot.

Per i team di threat intelligence, il DFIR Report ha documentato 84 account GitHub attivi con pattern email "2g"/"g2g" e domini "wc[.]ci" — indicatori di associazione a Garage2Global. La presenza di Matomo tracking a stats.us3[.]org, con 1.112 risultati su urlscan.io, e l'uso di Cloudflare Turnstile o hCaptcha come filtro pre-payload sono segnali di TDS attivo.

Per le piattaforme hosting, la concentrazione del 47,6% delle registrazioni su Spaceship e del 28,6% su Namecheap tra il 2023 e il 2026, con l'81,1% dei domini che usano Cloudflare come proxy, offre un profilo di registrazione ricorrente. Il bulk da agosto 2025 in poi e il picco fine 2025/primi 2026 indicano finestra temporale di espansione infrastrutturale misurabile.

Per i motori di ricerca, il DOM shuffling — riordinamento dinamico HTML tramite JavaScript — e lo spam UGC aggressivo che genera 2.000 backlink per singola pagina esca rappresentano tecniche di evasione rilevabili attraverso analisi di coerenza strutturale e velocità anomala di acquisizione link.

Domande e risposte

Perché Bing è vulnerabile a questo tipo di attacco?

La campagna sfrutta la dipendenza di Bing da segnali di trust come backlink e hosting su domini ad alta reputazione, non una vulnerabilità tecnica del motore. La manipolazione avviene a livello algoritmico, non di exploit.

MayaBot è un ransomware?

No. Secondo il DFIR Report, MayaBot è un malware custom per command-and-control, monitoraggio di sistema e delivery del miner XMRig. Non è documentata alcuna funzionalità di cifratura dati.

Le piattaforme legittime sono state compromesse?

No. GitHub, Cloudflare, Google Sites e ReadTheDocs sono abusati come hosting consensuale, non violati tecnicamente. Il contenuto malevolo sfrutta la reputazione del dominio padre senza necessità di breach.

Fonti

• https://thehackernews.com/2026/09/bengalseo-poisons-bing-search-results.html
• https://thomasharris6.wordpress.com/2026/09/08/bengalseo-poisons-bing-search-results-to-deliver-mayabot-and-tech-support-scams/
• https://news.cybertechworld.co.in/index.php/2026/09/08/bengalseo-poisons-bing-search-results-to-deliver-mayabot-and-tech-support-scams/
• https://www.guardianmssp.com/2026/09/08/bengalseo-poisons-bing-search-results-to-deliver-mayabot-and-tech-support-scams/