Siber güvenlik araştırmacıları, zararlı yazılımların bulaşmasına ve teknik destek dolandırıcılığına zemin hazırlayan devasa bir arama motoru optimizasyonu (SEO) zehirleme kampanyasının tüm detaylarını gün yüzüne çıkardı.
Siber tehdit istihbarat platformu DFIR Report tarafından Mart 2026'da ortaya çıkarılan ve BengalSEO kod adını taşıyan bu kampanya, en az 2015 yılından bu yana Hindistan'ın Rajasthan eyaletinden yönetiliyor. Operasyonun arkasında WeConnect Solutions LLC (eski adıyla iConnect Soft Solutions LLC) ve Garage2Global adlı iki bilişim hizmeti sağlayıcısı yer alıyor.
Garage2Global kendisini web sitesi tasarımı, SEO ve dijital pazarlama hizmetleri sunan meşru bir şirket olarak tanıtsa da durum hiç de öyle değil. İstihbarat platformu, şirketin BengalSEO dolandırıcılık ağının bir parçası olarak SEO zehirleme kampanyalarında kullanılan kötü amaçlı web altyapıları geliştirdiğine dair somut kanıtlar elde etti.
DFIR Report, geçen ayın sonlarında yayımladığı teknik analizde şu ifadelere yer verdi: "Bu grup, çeşitli Black Hat SEO tekniklerini kullanarak kandırıcı sayfalar oluşturmak ve bunları tanıtmak için kapsamlı SEO ve web geliştirme yeteneklerini kullanıyor. Söz konusu kandırıcı sayfalar, trafiği zararlı yazılımlara ve teknik destek dolandırıcılığına yönlendirmek, izlemek ve filtrelemek için gelişmiş bir trafik dağıtım sistemine bağlanıyor."
Ele geçirilen sistemlere bulaştırılan zararlı yazılımlardan biri, komuta ve kontrol (C2) altyapısı kurmaktan, sistemleri uzaktan izlemekten ve XMRig kripto para madencisi dağıtmaktan sorumlu olan MayaBot adlı özel bir kötü amaçlı yazılım. BengalSEO grubunun, operasyonlarını yürütmek için 2022 yılından bu yana MayaBot'tan faydalandığı belirtiliyor.
Sadece maddi kazanç güden bu siber suç örgütü, Black Hat SEO teknikleri ve web geliştirme konusundaki derin bilgilerini kullanarak sahte sayfalar oluşturuyor. Bu sayfalar aracılığıyla ya MayaBot zararlı yazılımını hedeflere bulaştırıyorlar ya da kurbanları sahte çağrı merkezlerini aramaya ikna ediyorlar. Örgüt, trafik akışını, kampanya performansını ve gizleme işlemlerini yönetmek için son derece gelişmiş bir trafik dağıtım sistemi (TDS) de kullanıyor.
Bu trafik dağıtım sistemi, kurbanları bir yönlendirme zinciri üzerinden zararlı yazılım barındıran alan adlarına yönlendiren bir geçit mekanizması olarak çalışıyor. Sistem aynı zamanda kurbanları izlemek ve dijital parmak izlerini toplamak için Matomo adlı meşru ve gizlilik odaklı bir analitik hizmetinden faydalanıyor.
