BengalSEO: anatomia de uma operação de envenenamento de SEO que distribui o malware MayaBot
O DFIR Report detalha a BengalSEO, uma operação criminosa baseada em Rajasthan (Índia) e ativa desde 2015, que combina black hat SEO em larga escala com um sistema de distribuição de tráfego para posicionar páginas maliciosas no topo de buscas por softwares populares. As vítimas são levadas a páginas de isca hospedadas em plataformas legítimas (github.io, pages.dev, readthedocs.io) e, após triagem por CAPTCHA e fingerprinting, recebem o dropper JavaScript MayaBot ou são direcionadas a golpes de suporte técnico por telefone. O relatório é a parte 1 de uma série e traz reconstrução completa da infraestrutura, TTPs mapeados no MITRE ATT&CK e um extenso conjunto de IOCs.
Em março de 2026, a equipe do DFIR Report identificou e passou meses reconstruindo a cadeia operacional da BengalSEO, uma campanha de envenenamento de SEO ligada a duas empresas em Rajasthan, Índia: a "WeConnect Solutions LLC", que opera um call center, e a "Garage2Global", responsável pelo desenvolvimento das páginas maliciosas. Diferente de uma intrusão pontual, trata-se de uma operação comercial persistente, rastreável desde 2015 por meio de registros de domínio, certificados SSL e contas de desenvolvedores no GitHub, o que permitiu aos investigadores traçar uma linha do tempo de quase uma década de atividade e crescimento de infraestrutura.
Tecnicamente, a operação combina várias técnicas de black hat SEO para conquistar posições de destaque no Bing e no Google: spam massivo de backlinks em comentários de blogs e fóruns (mais de 1.900 links por página), injeção de scripts ofuscados que constroem domínios typosquatados como "ajax.googleapis.com[.]co" para inserir farms de palavras-chave, e um mecanismo de "DOM shuffling" que usa o mês UTC como seed para reorganizar mensalmente a estrutura HTML das páginas e driblar filtros de conteúdo duplicado. Quando a vítima clica no resultado de busca, cai em uma "lure page" hospedada em plataformas confiáveis de terceiros, que a encaminha para um Traffic Distribution System (TDS) com domínios codificados em Base62/Base64, proteção via Cloudflare Turnstile/hCaptcha e fingerprinting de navegador (IP, user-agent, resolução) enviado a um servidor Matomo próprio antes da entrega final do payload.
O payload principal, batizado de MayaBot, é um dropper em JavaScript camuflado como executável, disparado via wscript.exe e hospedado em uma constelação de domínios C2 de curta duração. Dependendo da segmentação de tráfego, a mesma infraestrutura também redireciona vítimas para golpes clássicos de suporte técnico com números de telefone fraudulentos, mostrando que a BengalSEO funciona como uma plataforma de distribuição multiuso, e não como uma família de malware isolada. O relatório mapeia essa cadeia a técnicas MITRE ATT&CK como T1583 e T1608 (preparação e registro de infraestrutura), T1189 (drive-by compromise) e T1566.002 (phishing via lure pages), o que facilita a construção de detecções e regras de correlação por equipes de blue team.
O valor prático do relatório está na metodologia de atribuição e no volume de indicadores expostos: os autores cruzam dados de VirtusTotal, Validin e urlscan.io para identificar centenas de domínios (por exemplo, o wrapper "wapp.live" com 411 subdomínios e certificados emitidos em lote), analisam padrões de registro concentrados em provedores como Spaceship e Namecheap, e usam OSINT em commits do GitHub para vazar e-mails corporativos dos operadores. Para times de detecção e resposta a incidentes, isso significa não apenas uma lista de IOCs pontuais, mas um conjunto de padrões estruturais e comportamentais reutilizáveis (rotação de domínios, uso de plataformas confiáveis como isca, fingerprinting via Matomo) que ajudam a identificar variantes futuras da mesma operação, mesmo após a rotação de infraestrutura.
O caso reforça um ponto recorrente na resposta a incidentes atual: campanhas de infecção em massa cada vez mais abusam de serviços legítimos (GitHub Pages, Cloudflare, Google Sites) como camada de ofuscação para escapar de filtros de reputação de domínio, exigindo que a investigação combine telemetria de endpoint com OSINT de infraestrutura (WHOIS, certificados, DNS histórico) para reconstruir a operação por trás do malware entregue.