Una campagna di SEO poisoning chiamata BengalSEO sta sfruttando i risultati di ricerca di Bing per spingere utenti verso malware e truffe di finto supporto tecnico. Questo tipo di attacco di sicurezza informatica manipola il posizionamento delle pagine nei motori di ricerca con tecniche di black hat SEO, facendo apparire in alto link ingannevoli che imitano siti affidabili.
In questo caso la catena inizia con pagine esca che sembrano portali di assistenza o attivazione per servizi di streaming, guide di configurazione per dispositivi, download di antivirus, software gaming e strumenti fiscali, oltre a pagine per attivare gift card, carte sanitarie o di credito.
Meccanismo di reindirizzamento tramite TDS
Il meccanismo centrale è un sistema di distribuzione del traffico, spesso indicato come TDS, che gestisce reindirizzamenti, filtri e cloaking. L’utente clicca su un pulsante come Get Started o Download for Windows e viene instradato attraverso più domini intermedi. Prima di arrivare alla destinazione finale, il TDS può presentare sfide come Cloudflare Turnstile o hCaptcha per bloccare scanner automatici e bot, aumentando la probabilità di colpire persone reali.
Tracciamento, fingerprinting e consegna del payload
Un elemento chiave è il tracciamento e fingerprinting del browser tramite strumenti di analytics. Vengono usati script che profilano il client e inviano dati utili a scegliere il payload o la pagina finale più adatta. In molti casi il risultato è il download di un archivio ZIP che contiene un dropper in JavaScript mascherato da programma legittimo. Una volta eseguito, lo script avvia il malware MayaBot tramite wscript.exe, abilitando funzioni di comando e controllo, monitoraggio del sistema e la distribuzione di un miner di criptovalute come XMRig.
Catene alternative: truffe di finto supporto tecnico
In alternativa, alcune catene non consegnano malware ma portano a pagine che invitano a chiamare numeri di assistenza fasulli, tipiche truffe di tech support che puntano a estorcere pagamenti o ottenere accesso remoto.
Abuso di hosting reputato e tecniche di crescita SEO
Per aumentare la credibilità, gli attaccanti abusano di piattaforme di hosting considerate affidabili come github.io, pages.dev, sites.google.com e readthedocs.io, sfruttando la reputazione del dominio per migliorare il ranking su Bing. La crescita nei risultati è alimentata anche da spam UGC su forum e commenti, con migliaia di backlink, keyword stuffing e tecniche come DOM shuffling e DOM injection per rendere le pagine apparentemente diverse ai crawler.