Wprowadzenie do problemu / definicja
Kampanie SEO poisoning od lat stanowią skuteczny sposób przechwytywania ruchu użytkowników wyszukiwarek. W opisanym przypadku klaster określany jako BengalSEO manipulował wynikami wyszukiwania Bing, aby promować fałszywe strony pomocy technicznej, aktywacji usług i pobierania oprogramowania. Celem operacji było zarówno dostarczanie złośliwego oprogramowania MayaBot, jak i kierowanie ofiar do oszustw telefonicznych typu tech support.
To przykład zagrożenia, w którym samo wyszukiwanie informacji lub legalnego oprogramowania staje się początkiem łańcucha ataku. Z perspektywy użytkownika strona może wyglądać wiarygodnie, ale w tle działa infrastruktura przekierowań, profilowania i selekcji ofiar.
W skrócie
- BengalSEO to rozbudowana kampania black hat SEO powiązana z wieloletnią infrastrukturą przestępczą.
- Atakujący promowali strony-wabiki związane ze wsparciem technicznym, aktywacją usług, narzędziami bezpieczeństwa i pobieraniem popularnego oprogramowania.
- Ruch był kierowany przez TDS, który analizował użytkownika i decydował o dalszym scenariuszu ataku.
- Ofiary mogły otrzymać fałszywy instalator z dropperem MayaBot albo zostać skierowane do oszustwa telefonicznego.
- Kampania wykorzystywała legalne platformy hostingowe oraz masowe backlinki do poprawy pozycji w wynikach wyszukiwania.
Kontekst / historia
Według opublikowanych ustaleń kampania została wykryta w marcu 2026 roku, jednak jej zaplecze miało funkcjonować znacznie wcześniej. Badacze wskazali, że infrastruktura była rozwijana co najmniej od 2015 roku i obejmowała liczne domeny, konta oraz zasoby utrzymywane w różnych usługach hostingowych i deweloperskich.
W latach 2024–2026 obserwowano dziesiątki aktywnych kont używanych do publikowania oraz aktualizowania stron-wabików. Operatorzy stale rotowali domeny przekierowujące, modyfikowali elementy kampanii i utrudniali blokowanie infrastruktury. Taki model działania przypomina dojrzały ekosystem cyberprzestępczy, a nie jednorazową akcję phishingową.
Analiza techniczna
Mechanizm ataku rozpoczynał się od manipulacji rankingiem w Bing. Operatorzy wykorzystywali klasyczne techniki black hat SEO, w tym keyword stuffing, masowe budowanie backlinków, spam UGC na forach i w komentarzach oraz modyfikacje DOM, które miały utrudniać wykrywanie przez filtry antyspamowe i crawlerów.
Po wejściu na stronę użytkownik trafiał do systemu TDS, czyli warstwy zarządzającej ruchem i podejmującej decyzję o dalszym przebiegu ataku. TDS analizował parametry klienta, stosował cloaking, prowadził śledzenie kampanii i kierował ruch przez serię domen pośredniczących. W części przypadków pojawiały się również mechanizmy typu CAPTCHA, które miały odsiać boty, skanery i środowiska analityczne.
Kolejnym etapem był fingerprinting przeglądarki oraz systemu ofiary. Skrypty osadzone na stronach zbierały informacje o środowisku klienta, co pozwalało dobrać odpowiedni scenariusz dostarczenia ładunku lub przekierowania. Dzięki temu kampania była bardziej odporna na analizę i trudniejsza do pełnego zmapowania.
W wariancie malware użytkownik otrzymywał fałszywy przycisk pobrania dla systemu Windows. Pobierane archiwum ZIP zawierało JavaScriptowy dropper podszywający się pod oczekiwany instalator. Po uruchomieniu skrypt wykonywał się przez wscript.exe i inicjował infekcję MayaBot, który zapewniał komunikację z serwerem C2, monitoring systemu oraz możliwość dostarczenia koparki kryptowalut XMRig.
W alternatywnym scenariuszu użytkownik był kierowany do fałszywej strony kontaktowej z numerem telefonu. Tam ofiarę informowano o rzekomej podejrzanej aktywności na koncie lub urządzeniu i nakłaniano do kontaktu z fałszywym wsparciem technicznym. Takie połączenie SEO poisoning i scamu call center zwiększało możliwości monetyzacji ruchu.
Na uwagę zasługuje również nadużywanie zaufanych platform hostingowych. Dzięki osadzaniu stron-wabików w środowiskach kojarzonych z legalnym hostingiem treści operatorzy mogli korzystać z reputacji tych usług, poprawiać pozycjonowanie i utrudniać szybkie blokowanie infrastruktury.
Konsekwencje / ryzyko
Dla użytkownika końcowego główne ryzyko obejmuje infekcję malware, kradzież danych, uruchomienie koparki kryptowalut oraz kontakt z oszustami podszywającymi się pod pomoc techniczną. Ofiara może sądzić, że trafia na legalną instrukcję lub stronę producenta, podczas gdy w rzeczywistości przechodzi przez wieloetapowy łańcuch selekcji i eksploatacji.
Dla organizacji zagrożenie jest szersze, ponieważ pracownicy często wyszukują instrukcje konfiguracji, aktywacji usług, rozwiązywania problemów czy pobierania narzędzi administracyjnych. Jeśli taki ruch nie jest odpowiednio kontrolowany, może doprowadzić do uruchomienia droppera, komunikacji z infrastrukturą C2 i dalszej kompromitacji środowiska. Nawet gdy końcowym etapem jest wyłącznie scam telefoniczny, skutkiem może być ujawnienie danych wewnętrznych, danych uwierzytelniających lub instalacja narzędzi zdalnego dostępu.
Rekomendacje
Organizacje powinny traktować ruch pochodzący z wyszukiwarek jako potencjalny wektor dostarczenia malware, zwłaszcza gdy dotyczy pobierania oprogramowania, aktywacji usług lub pomocy technicznej. W praktyce konieczne jest wdrożenie kilku warstw ochrony.
- Ograniczyć pobieranie i uruchamianie skryptów oraz archiwów z niezweryfikowanych źródeł.
- Stosować kontrolę aplikacji oraz blokować wykonywanie przez wscript.exe tam, gdzie nie jest to niezbędne.
- Monitorować nietypowe łańcuchy przekierowań, domeny o niskiej reputacji i pobrania ZIP-ów podszywających się pod legalne instalatory.
- Wzbogacać detekcję o telemetrię z przeglądarek, procesów potomnych i połączeń do infrastruktury C2.
- Traktować SEO poisoning jako odrębną kategorię zagrożeń w monitoringu SOC.
- Szkolć użytkowników, aby pobierali oprogramowanie wyłącznie z oficjalnych portali producentów wskazanych w dokumentacji wewnętrznej.
- Uświadamiać pracowników, że numery telefonów rzekomego wsparcia znalezione w wyszukiwarce mogą być elementem oszustwa.
Jeśli użytkownik pobrał podejrzane archiwum lub uruchomił skrypt, należy niezwłocznie odizolować host, przeanalizować procesy potomne wscript.exe, sprawdzić oznaki utrzymania dostępu, zweryfikować artefakty związane z XMRig oraz prześledzić komunikację do zewnętrznych domen kampanii. Trzeba również ustalić, czy doszło do kontaktu z oszustami oraz czy ujawniono dane logowania lub zainstalowano narzędzia zdalnego dostępu.
Podsumowanie
BengalSEO pokazuje, jak dojrzałe kampanie przestępcze łączą manipulację wynikami wyszukiwania, systemy dystrybucji ruchu, fingerprinting ofiar i wielowektorową monetyzację w postaci malware oraz oszustw tech support. Nie jest to prosty phishing, lecz złożony ekosystem, w którym pozycjonowanie staje się pierwszym etapem ataku.
Dla obrońców kluczowe znaczenie ma połączenie kontroli pobrań, detekcji zachowań na endpointach, filtrowania ruchu webowego oraz edukacji użytkowników. Kampanie tego typu potwierdzają, że nawet zwykłe zapytanie w wyszukiwarce może stać się początkiem poważnego incydentu bezpieczeństwa.
Źródła
- The Hacker News — https://thehackernews.com/2026/09/bengalseo-poisons-bing-search-results.html
- The DFIR Report — BengalSEO technical analysis — https://thedfirreport.com/2026/08/27/bengalseo-search-seo-poisoning/
- MDN Web Docs — Content-Security-Policy (CSP) — https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP
- Ahrefs — backlink analysis reference — https://ahrefs.com/
- urlscan.io — infrastructure visibility reference — https://urlscan.io/