Campaña BengalSEO envenena Bing para instalar MayaBot y estafar
El DFIR Report destapa la campaña BengalSEO, activa desde 2015, que envenena Bing con el malware MayaBot y estafas de soporte técnico.
Los investigadores del DFIR Report han destapado una campaña de envenenamiento de resultados de búsqueda llamada BengalSEO, activa desde al menos 2015 y operada desde el estado indio de Rajastán. Está vinculada a dos proveedores de servicios TI, WeConnect Solutions (antes iConnect Soft Solutions) y Garage2Global, a los que atribuyen la creación de la infraestructura maliciosa.
El objetivo es doble: instalar el malware MayaBot en equipos Windows o redirigir a las víctimas a falsos soportes técnicos. Para lograrlo, crean páginas señuelo que imitan portales de activación de servicios legítimos, como antivirus, utilidades fiscales o plataformas de streaming. Promocionan esas páginas mediante técnicas SEO ilegales para que aparezcan en los primeros puestos de Bing.
El informe técnico detalla el uso de backlinks masivos, relleno de palabras clave y manipulación del DOM, incluyendo 'DOM shuffling' para que páginas idénticas parezcan únicas frente a los rastreadores. Un ejemplo es la búsqueda 'bitdefender central how to login', que conduce a un enlace fraudulento alojado en readthedocs[.]io. La página muestra un botón 'Get Started' que dispara una cadena de redirecciones gestionada por un TDS (sistema de distribución de tráfico). Ese TDS usa retos como Cloudflare Turnstile o hCaptcha para filtrar bots, y recurre a Matomo para obtener huellas del navegador de la víctima.
El payload final suele ser un archivo ZIP con un dropper en JavaScript que ejecuta MayaBot mediante wscript.exe. MayaBot es un backdoor a medida que permite el control remoto, la monitorización del sistema y la entrega del minero XMRig. En otras variantes, en lugar de malware, la víctima es dirigida a un número de teléfono de una estafa de soporte técnico.
Para mantener la campaña, BengalSEO aprovecha plataformas legítimas como github.io, pages.dev, sites.google.com y readthedocs.io, confiando en su reputación para evitar los filtros de los buscadores. La página señuelo de Vizio acumula 2.000 backlinks y 167 dominios externos, según las comprobaciones del DFIR Report. El dominio de análisis estadístico stats.us3[.]org registra más de 1.100 resultados en urlscan.io, lo que da idea de la escala de la operación.
Para equipos de IT, la recomendación es revisar los accesos a esos dominios y desconfiar de enlaces en foros o comentarios que promuevan configuraciones de dispositivos, especialmente si llegan a través de Bing.
