Pesquisadores de cibersegurança divulgaram detalhes de uma ampla campanha de envenenamento de mecanismos de busca, conhecida como SEO poisoning, que abre caminho para a distribuição de malware e golpes de suporte técnico.
A campanha, descoberta pelo DFIR Report em março de 2026, recebeu o codinome BengalSEO. Segundo a apuração, ela opera a partir do estado indiano de Rajastão desde, pelo menos, 2015 e é impulsionada por dois provedores de serviços de TI, chamados WeConnect Solutions LLC, anteriormente iConnect Soft Solutions LLC, e Garage2Global.
Embora a Garage2Global se apresente como fornecedora de serviços de criação de sites, SEO e marketing digital, a plataforma de inteligência de ameaças cibernéticas afirmou ter encontrado evidências de que a empresa desenvolve infraestrutura web maliciosa usada em campanhas de SEO poisoning, como parte do grupo criminoso BengalSEO.
“Esse grupo utiliza suas amplas capacidades em SEO e desenvolvimento web para criar e promover páginas isca com múltiplas técnicas de Black Hat SEO”, afirmou o DFIR Report em uma análise técnica publicada no fim do mês passado. “Essas páginas então se conectam a um sofisticado sistema de distribuição de tráfego para direcionar, rastrear e filtrar acessos para payloads e golpes de suporte técnico.”
Um dos payloads é um malware personalizado chamado MayaBot, responsável por habilitar command and control (C2), monitoramento do sistema e entrega do minerador de criptomoedas XMRig. O BengalSEO teria usado o MayaBot desde 2022 para conduzir suas operações.
O threat actor, motivado financeiramente, foi descrito como alguém com amplo conhecimento de técnicas de Black Hat SEO e desenvolvimento web para criar e promover um cluster de páginas isca fraudulentas, com o objetivo de distribuir o malware MayaBot ou convencer vítimas a ligar para centrais de atendimento fraudulentas. O grupo também integra um sofisticado sistema de distribuição de tráfego, ou TDS, para gerenciar fluxo de acesso, desempenho das campanhas e ocultação.
Na prática, o TDS atua como um mecanismo de triagem, conduzindo as vítimas por uma cadeia de redirecionamentos até os domínios de entrega do payload, enquanto usa um serviço legítimo de análise com foco em privacidade, chamado Matomo, para rastrear vítimas e fazer fingerprinting.
O ponto de partida da operação é uma rede de páginas isca maliciosas promovidas por técnicas de SEO poisoning para aparecerem no topo dos resultados de busca no Microsoft Bing. Essas páginas enganosas imitam portais legítimos de suporte técnico e ativação de serviços de streaming. Elas também alegam oferecer downloads de ferramentas antivírus, softwares de jogos e utilitários de tributação, além de ativar cartões de crédito, saúde e vale-presente.
Um dos exemplos sequestra buscas por “bitdefender central how to login” para exibir um link falso hospedado em readthedocs[.]io, com um grande botão “Get Started” que dispara a cadeia de infecção e encaminha usuários desavisados por uma rede de domínios redirecionadores, a fim de identificar o navegador e levá-los às páginas finais adequadas.
“O BengalSEO usou backlinks, injeção no DOM, embaralhamento do DOM e preenchimento de palavras-chave para viabilizar a operação por meio de técnicas de Black Hat SEO”, observou o DFIR Report. “O BengalSEO usa spam agressivo de conteúdo gerado por usuários, o UGC, para criar backlinks em escala.”
Isso envolve inundar fóruns e seções de comentários com hyperlinks para as páginas isca, como “viziocomsetupentercode.github[.]io”, incentivando os leitores a configurar sua smart TV “facilmente” seguindo “instruções simples na tela”. A página isca da Vizio, por exemplo, acumula 2.000 backlinks e 167 domínios externos únicos apontando para o site.
O cenário indica que o BengalSEO depende fortemente de um grande volume de backlinks para manipular algoritmos de ranqueamento dos mecanismos de busca e ampliar artificialmente a visibilidade das páginas isca nos resultados de pesquisa.
Já o embaralhamento do DOM se refere à prática de reorganizar dinamicamente elementos HTML com código JavaScript incorporado, com o objetivo de randomizar a estrutura do Object Model of the Document, o DOM. Com isso, guias de instalação idênticos distribuídos por centenas de domínios parecem únicos para os rastreadores da web e conseguem burlar filtros antispam.
Antes de exibir a página principal com o payload, os domínios redirecionadores baseados em TDS apresentam um desafio do Cloudflare Turnstile ou do hCaptcha para barrar scanners automatizados, rastreadores, bots e outros visitantes indesejados. As páginas isca e de destino vêm com um script de rastreamento do Matomo incorporado para criar um perfil do navegador no lado do cliente e enviar as informações ao domínio “stats.us3[.]org”. Uma busca por esse domínio no urlscan.io mostra 1.112 resultados até o momento, ante 1.190 no momento da análise.
“O Matomo não foi o único sistema de análise usado pelo BengalSEO. Páginas isca em plataformas de hospedagem como github.io e pages.dev geralmente usam serviços de análise como o Google Tag Manager”, afirmou o DFIR Report.
Na outra ponta da cadeia de redirecionamento está a página final, que contém um link de download e instruções para uso do falso software. Quando o usuário clica no botão “Download for Windows”, um arquivo ZIP é baixado antes de redirecioná-lo para a página legítima do software após 40 segundos. Alguns dos domínios usados para entrega do payload incluem:
ustechio[.]com
tax.dll[.]lat
u320[.]my
reficon[.]pro
ñ[.]link
pltechoo[.]pro
Dentro do arquivo ZIP há um dropper em JavaScript para o MayaBot, disfarçado de executável do programa baixado na etapa anterior. Após a execução, o JavaScript roda por meio do “wscript.exe” para iniciar a infecção pelo MayaBot.
Em outros casos, as páginas finais não entregam payload algum e apenas redirecionam a vítima para uma página de contato que orienta a ligar para um número de golpe do BengalSEO para resolver um suposto problema de atividade suspeita associado à conta Bitdefender Central.
Foi observado que o BengalSEO usa plataformas legítimas de hospedagem de páginas web, como github.io, pages.dev, sites.google.com e readthedocs.io, para dar suporte aos esforços de SEO poisoning, provavelmente explorando a confiança e a reputação desses serviços, que influenciam os resultados dos mecanismos de busca.
O DFIR Report informou ainda ter identificado várias contas do GitHub ligadas ao BengalSEO, usadas para desenvolver e hospedar páginas isca. Essas páginas são atualizadas constantemente por meio de commits para alternar domínios redirecionadores ou substituí-los temporariamente por URLs legítimas, a fim de evitar detecção e trocar domínios bloqueados ou derrubados.
Foram detectadas até 84 contas ativas do GitHub associadas ao BengalSEO entre janeiro de 2024 e março de 2026. Uma análise mais aprofundada do histórico de commits dessas contas revelou endereços de e-mail ligados a domínios da Garage2Global, como “wc[.]ci”. Veja abaixo alguns exemplos de contas do GitHub e seus endereços associados à empresa:
activate-uhc-com-ucard - [email protected]
activate-uhc-helpbook - [email protected]
capitalonecredit - [email protected]
help-line-center - [email protected]
snehajaing2g - snehajaing2g@gmail
A maior parte da infraestrutura do BengalSEO teria sido registrada a partir de agosto de 2025, com aumento da atividade ao longo do fim de 2025 e do início de 2026. Os domínios foram registrados sob extensões de nível superior como .my, .shop e .info.
“Entre 2023 e 2026, o BengalSEO registrou domínios principalmente por meio da Spaceship (47,6%) e da Namecheap (28,6%)”, disse o DFIR Report. “Na hospedagem, o grupo favoreceu fortemente a Cloudflare (81,1%) para fazer proxy do tráfego, com a Hostmaza servindo como host de origem para 10,0% dos domínios.” Uma conta que administrava alguns desses domínios redirecionadores, como “wapp[.]live”, foi suspensa pela Hostmaza no início deste ano.
A divulgação ocorre enquanto a Check Point Research compartilhou detalhes de uma campanha persistente que mira instituições governamentais e educacionais brasileiras desde meados de 2025 para transformar seus sites em arma de manipulação de SEO. A atividade foi atribuída a um cluster de cibercrime de língua chinesa conhecido como Gambling Goblin, que tem ligações com a Earth Berberoka, também chamada de GamblingPuppet, um threat actor conhecido por mirar sites de apostas na Ásia desde, pelo menos, 2020.
“O grupo opera redes localizadas de phishing em português, vietnamita, espanhol e inglês, enquanto também mantém uma infraestrutura que gera novos domínios diariamente”, disse a empresa de cibersegurança, segundo reportagens. “Juntas, essas descobertas sugerem que não se trata de um experimento regional, mas de um modelo projetado para escala global.”
A campanha envolve a instalação de módulos Apache maliciosos nos servidores das vítimas, que fazem reverse proxy de forma furtiva dos visitantes para páginas de phishing controladas pelos atacantes, enquanto o tráfego ainda parece se originar do domínio legítimo. Os cabeçalhos Content-Security-Policy, ou CSP, do próprio site são removidos para permitir que o conteúdo injetado seja executado sem bloqueio.
Depois de obter acesso, os threat actors implantam um kit de ferramentas para Linux que inclui um downloader personalizado em Go, chamado DownPro, além de vários backdoors, como AlphaAgent, ChUser e oRAT, para executar comandos emitidos pelos operadores e permitir controle remoto. O pacote também inclui um ladrão de senhas baseado no 3snake, um forçador bruto de SSH e um agente de reconhecimento orientado por plugins. Os atacantes também foram vistos instalando módulos Apache personalizados para redirecionar visitantes às páginas de phishing. A rota exata de acesso inicial ainda é desconhecida.
As páginas de phishing se passam por lojas de aplicativos confiáveis, como Google Play, Microsoft Store e Amazon, aproveitando os domínios de alta reputação para inflar o ranqueamento nas buscas e, no fim, impulsionar apostas online e apostas esportivas.
“O objetivo provável é a manipulação de SEO em escala”, disse a Check Point. “Ao sequestrar domínios confiáveis e de alta reputação, muitos deles sites do governo brasileiro, os operadores emprestam essa reputação para empurrar seu próprio conteúdo para o topo dos resultados de busca e sequestrar o tráfego que vem em seguida. Mas a mesma infraestrutura pode servir a um fim mais perigoso: as páginas de phishing se passam por destinos de download de aplicativos, como Google Play, Microsoft Store e Amazon, o que deixa os operadores a um passo de entregar malware diretamente às vítimas.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...