LONDON (IT BOLTWISE) – Sicherheitsforscher beschreiben eine groß angelegte SEO-Poisoning-Kampagne mit dem Namen BengalSEO. Sie nutzt manipulierte Suchergebnisse bei Microsoft Bing, um Nutzer auf scheinbar legitime Support- und Download-Seiten zu lenken. Im Kern steht ein Traffic-Distribution-System mit Redirector-Kette, Fingerprinting und Bot-Schutz per Challenge-Page. Als Payload wird ein benutzerdefiniertes Malware-Tool namens MayaBot eingesetzt, das C2, Systemüberwachung und einen XMRig-Coinminer ermöglicht.
Was auf den ersten Blick nach „nur“ miesem SEO aussieht, entpuppt sich in der Praxis als mehrstufige Angriffskette: Die von Sicherheitsforschung dokumentierte Kampagne BengalSEO richtet ihre Lures so aus, dass sie in den Suchergebnissen von Microsoft Bing nach vorn rücken. Entscheidend ist dabei, dass die Einstiegspunkte wie legitime Portale wirken – etwa als technische Support- oder Aktivierungsseiten für Streaming-Dienste – und zugleich „Download“-Abläufe für angebliche Schutzsoftware, Spiele oder Steuer-Tools versprechen. Laut den Angaben aus dem veröffentlichten Technical Analysis-Report operiert das Cluster seit mindestens 2015 aus Rajasthan, und die Infrastruktur wird dabei über mehrere IT-Dienstleister hinweg orchestriert. Für Unternehmen und Sicherheitsverantwortliche ist dabei weniger die bloße Suchmaschinenmanipulation das Problem, sondern die Tatsache, dass Suchverkehr zu einer kontrollierten Lieferkette für Payloads wird.
Technisch beschrieben setzt BengalSEO auf eine Kombination aus klassischem Black-Hat-SEO und einer Traffic-Distribution-Logik, die Nutzerpfade zur Laufzeit steuert. Die Lure-Seiten werden demnach mithilfe von Techniken wie Keyword Stuffing, DOM-Manipulation (u. a. DOM Shuffling) und aggressivem UGC-Spam skalierbar gemacht. In einem konkreten Beispiel soll eine Vizio-ähnliche Decoy-Seite rund 2.000 Backlinks sowie 167 externe Domains aufweisen, die auf die Seite verlinken. Das Muster passt zu einer systematischen Ausnutzung von Ranking-Signalen: Je mehr glaubwürdig erscheinende Verlinkungen, desto wahrscheinlicher wird der Aufstieg in SERPs. DOM Shuffling dient dabei dazu, identische oder sehr ähnliche Setup-Guides auf hunderten Domains trotz automatisierter Erkennung als „neu“ wirken zu lassen, weil HTML-Elemente dynamisch umgeordnet und damit beim Crawling unterschiedlich präsentiert werden.
Im nächsten Schritt übernimmt das Traffic-Distribution-System (TDS) die Rolle eines Gatekeepers. Laut den Report-Angaben werden Besucher zunächst über eine Redirector-Kette zu Domains geführt, die wiederum die Zielumgebung vorbereiten. Für automatisierte Scanner und „unerwünschte Besucher“ kommt dabei eine Challenge-Seite zum Einsatz: Im Text wird genannt, dass entweder Cloudflare Turnstile oder hCaptcha verwendet werden, bevor es zur Payload- oder Scam-Landingpage weitergeht. Zusätzlich wird Matomo als Privacy-first-Analytics-Dienst eingebunden, um im Browser Daten zu sammeln und so Fingerprinting und Tracking zu ermöglichen; die Zieladressen für das Tracking werden im Bericht als separater Domain-Endpoint beschrieben. Dadurch entsteht eine Art „Qualifizierungsprozess“: Je nach Browserprofil landen Nutzer auf unterschiedlichen Pfaden, etwa direkt bei Downloads oder bei Seiten, die Nutzer zum Anruf einer Scam-Nummer drängen.
Die wahrscheinlich wichtigste technische Komponente ist die Payload-Schicht: Als Malware wird ein maßgeschneidertes Tool namens MayaBot beschrieben, das seit 2022 für die Operation genutzt werden soll. Nach den veröffentlichten Details deckt MayaBot Funktionen ab, die für moderne Kampagnen typisch sind: Command-and-Control, Systemmonitoring und die Auslieferung eines XMRig-Coinminers. Praktisch bedeutet das: Die „Download für Windows“-Schaltfläche führt zunächst zu einem ZIP-Archiv; erst nach dem Auspacken startet ein JavaScript-Dropper, der sich als ausführbare Datei tarnt und anschließend über „wscript.exe“ die Infektionskette anstößt. In manchen Fällen liefern die finalen Landingpages hingegen gar keine Malware aus, sondern lenken auf Kontaktseiten um, die eine telefonische Unterstützung behaupten – mit dem Zweck, Opfer in einen Tech-Support- oder Kontoschadens-Scam zu verwickeln. Gerade diese Varianten zeigen, dass BengalSEO nicht nur auf Kompromittierung setzt, sondern auch auf soziale Umleitung, weil beides Umsatzpotenzial verspricht.
Die Kampagne ist zudem so angelegt, dass sie Hosting- und Vertrauensmechanismen missbraucht. Laut den Report-Angaben nutzt BengalSEO dabei legitime Plattformen wie github.io, pages.dev, sites.google.com und readthedocs.io, um Lure- und Redirector-Inhalte zu hosten. Die Logik dahinter ist nachvollziehbar: Solche Domänen haben häufig bereits eine Reputation aufgebaut und können Suchmaschinen- und Nutzervertrauen stärker „mitnehmen“, als wenn ausschließlich frische, ungebundene Domains verwendet würden. Ebenso werden die Lure-Inhalte anscheinend über ständig rotierende Redirector-Domains aktualisiert: GitHub-Accounts sollen dabei für Entwicklung und Hosting eingesetzt worden sein, inklusive der Praxis, Domains per Commit zu ersetzen oder temporär durch „unauffällige“ URLs zu wechseln, um Blockierungen oder Take-Downs zu umgehen. Im Bericht wird zudem eine Größenordnung genannt, wonach zwischen Januar 2024 und März 2026 bis zu 84 aktive BengalSEO-Accounts beobachtet worden sein sollen; auch dafür werden mehrere Indizien für die Verbindung zu einzelnen Garage2Global-Domains beschrieben.
Ein zweiter Strang der Recherche ordnet das Ganze in eine breitere Entwicklung ein: Parallel dazu wird eine lang laufende Manipulationskampagne beschrieben, bei der Websites – laut den Angaben – für SEO-Umleitungen missbraucht werden, um Besucher auf Phishing-Seiten zu lenken. Diese Aktivität soll sich seit Mitte 2025 gegen brasilianische Regierungs- und Bildungseinrichtungen richten und wird einem chinesischsprachigen Cybercrime-Cluster zugerechnet, das mit Earth Berberoka (alias GamblingPuppet) in Verbindung gebracht wird. Bemerkenswert ist hier die technische Brücke: Die Angreifer installieren demnach bösartige Apache-Module, die Besucher per Reverse-Proxy zu Phishingzielen umlenken, während die Herkunft im Traffic „wie von der legitimen Domain“ wirkt. Dazu werden außerdem Content-Security-Policy-Header entfernt, damit injizierte Inhalte nicht blockiert werden. Aus Sicherheits- und Compliance-Sicht erhöht das die Komplexität der Erkennung, weil nicht nur Endnutzer-Exploits zählen, sondern die Kompromittierung von Server- und Webserver-Integrationen.
Für die betriebliche Praxis folgt daraus eine klare Priorisierung: Die Abwehr darf sich nicht allein auf klassische „malware download“-Signaturen stützen, wenn Angriffe wie BengalSEO den Einstieg über Suchmaschinenverkehr und legitim wirkende UI-Elemente organisieren. Relevanter werden URL- und Redirect-Ketten-Überwachung, die Auswertung von Browser-Fingerprinting-Mustern sowie die Segmentierung von Nutzern, die in kurzer Zeit von Such-Referern auf dynamische Landingpages wechseln. Auch die Hürde durch Turnstile oder hCaptcha hilft nicht als endgültige Schutzbarriere, weil die Angreifer die Challenge ebenfalls als Filter in ihrer Distribution nutzen, um Bot-Verhalten abzuweisen und „geeignete“ Browser gezielt weiterzuleiten. Außerdem sollten Security-Teams Web-Infrastruktur-Hypothesen mitdenken: Wenn Phishing-Kampagnen wie die im Bericht beschriebene über Apache-Module und Reverse-Proxy-Injection laufen, sind harte CSP-Regeln allein nicht ausreichend, solange das Server-Setup kompromittiert ist. Das Zusammenspiel aus SEO-Poisoning, Redirector-Logik und getarnter Payload ist damit ein Muster, das Unternehmen in der Lage sehen sollten, bevor es im eigenen Web-Ökosystem sichtbar wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "BengalSEO: SEO-Poisoning, MayaBot und Tech-Support-Scams über Bing" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "BengalSEO: SEO-Poisoning, MayaBot und Tech-Support-Scams über Bing" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »BengalSEO: SEO-Poisoning, MayaBot und Tech-Support-Scams über Bing« bei Google Deutschland suchen, bei Bing oder Google News!