根據網路安全研究機構 DFIR Report 的分析，一個被命名為 BengalSEO 的大規模搜尋引擎最佳化（SEO）中毒攻擊行動被揭露。該組織據信自 2015 年起便在印度拉賈斯坦邦運作，其核心目的是透過操縱搜尋引擎排名，將使用者誘導至惡意頁面，進而部署惡意軟體或執行技術支援詐騙。這類攻擊的核心在於將搜尋引擎的信任機制武器化，讓受害者在搜尋合法軟體或服務時，誤信排名靠前的詐騙連結。
背景與攻擊目標
BengalSEO 的運作模式高度依賴於黑帽 SEO（Black Hat SEO），這是一種違反搜尋引擎指南、利用演算法漏洞來強行提升網頁排名的不正當手段。該組織主要針對 Microsoft Bing 的搜尋結果進行操縱，建立大量偽裝成合法技術支援、串流服務啟動頁面、防毒工具或遊戲軟體的誘餌頁面。
例如，當使用者在 Bing 中搜尋如何登入 Bitdefender Central（一款知名的防毒軟體管理介面）時，BengalSEO 會利用 SEO 中毒技術，將其偽造的 fraudulent 連結推至搜尋結果前列。這些頁面通常會提供一個顯眼的「開始使用」按鈕，一旦使用者點擊，便會進入一套複雜的流量分發與感染流程。
核心技術運作方式
BengalSEO 的攻擊鏈分為三個主要階段：誘餌吸引、流量過濾與最終載荷交付。
在誘餌吸引階段，該組織使用了多種黑帽 SEO 技巧。首先是大量生成反向連結（Backlinks），透過在論壇和評論區散布大量垃圾內容，誘導其他網站連結至其誘餌頁面，從而欺騙搜尋引擎認為該頁面具有高權威性。其次是 DOM 混淆（DOM Shuffling），利用 JavaScript 動態重新排列 HTML 元素的結構，使數百個內容相似的頁面在搜尋引擎爬蟲眼中看起來像是不重複的獨特內容，藉此繞過垃圾郵件過濾機制。
在流量過濾階段，他們部署了流量分發系統（TDS, Traffic Distribution System）。TDS 扮演著門禁的角色，透過一系列的重新導向域名（Redirector domains）來過濾流量。為了防止安全研究人員或自動化掃描器發現，他們會加入 Cloudflare Turnstile 或 hCaptcha 等驗證機制，確保只有真實的人類使用者能進入最終頁面。同時，他們利用 Matomo（一種注重隱私的分析服務）對受害者的瀏覽器進行指紋追蹤（Fingerprinting），以確定受害者的設備資訊，決定推送哪種攻擊載荷。
最後在載荷交付階段，受害者會被導向一個偽造的下載頁面。如果目標是安裝惡意軟體，使用者下載的 ZIP 壓縮檔中會包含一個 JavaScript 啟動器（Dropper），該檔案偽裝成可執行檔。一旦執行，會透過 Windows 的 wscript.exe 啟動名為 MayaBot 的自定義惡意軟體。MayaBot 具備指令與控制（C2, Command-and-Control）能力，可監控系統並安裝 XMRig 加密貨幣挖礦程式，將受害者的電腦資源轉化為攻擊者的獲利工具。若該頁面不提供軟體，則會導向詐騙電話號碼，誘導受害者撥打電話以處理所謂的帳戶異常，進入傳統的技術支援詐騙陷阱。
基礎設施與組織特徵
研究發現，BengalSEO 巧妙地利用了高信譽的託管平台來增加成功率。他們在 GitHub Pages (github.io)、Cloudflare Pages (pages.dev)、Google Sites 和 Read the Docs 等平台上部署誘餌頁面。由於這些平台本身在搜尋引擎中擁有極高的權威分，能顯著加速惡意頁面攀升至排名首頁。
DFIR Report 發現了多達 84 個與該組織相關的 GitHub 帳號，這些帳號被用來開發與託管誘餌頁面，並透過頻繁的提交（Commit）來輪換被封鎖的域名。透過分析提交歷史中的電子郵件地址，研究人員將這些活動指向兩家位於印度的 IT 服務提供商：WeConnect Solutions LLC（原名 iConnect Soft Solutions LLC）與 Garage2Global。儘管後者自稱提供網站設計與數位行銷服務，但證據顯示其開發了用於 SEO 中毒的惡意基礎設施。
影響與實務限制
這類攻擊的危險之處在於它利用了使用者的習慣。大多數人傾向於信任搜尋結果的第一頁，而 BengalSEO 證明了即便是在大型搜尋引擎上，只要掌握足夠的黑帽 SEO 技巧與高權威平台資源，就能大規模地操縱使用者行為。
然而，此類攻擊也存在限制。由於高度依賴第三方平台（如 GitHub）與域名註冊商（如 Namecheap、Spaceship），一旦這些平台加強對 SEO 垃圾內容的審核或封鎖相關帳號，攻擊者的基礎設施就會失效。這也是為何 BengalSEO 必須不斷輪換域名並使用 TDS 系統來隱藏最終目標的原因。
綜合來看，BengalSEO 的案例顯示了現代網路犯罪已從單純的釣魚郵件轉向更系統化的搜尋引擎操縱。對於企業與個人而言，僅僅依賴搜尋排名的可信度已不足夠，必須對下載來源進行嚴格驗證，並對不尋常的重新導向行為保持警覺。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。