BengalSEO ยัดผลค้นหา Bing ด้วยหน้าเว็บล่อนับร้อย — ปล่อยมัลแวร์ MayaBot และดันเหยื่อเข้าคอลเซ็นเตอร์ต้มตุ๋น

สรุปสั้น

นักวิจัยด้านความปลอดภัยไซเบอร์เปิดเผยรายละเอียดของแคมเปญ SEO poisoning ขนาดใหญ่ที่ปูทางไปสู่ทั้งการติดตั้งมัลแวร์และการหลอกลวงแบบ tech support scam แคมเปญนี้ถูกค้นพบโดยทีมวิจัย The DFIR Report เมื่อเดือนมีนาคม พ.ศ. 2569 และได้รับชื่อรหัสว่า BengalSEO โดยปฏิบัติการมาจากรัฐราชสถานของอินเดียตั้งแต่อย่างน้อยปี พ.ศ. 2558 ขับเคลื่อนโดยผู้ให้บริการด้านไอทีสองรายคือ WeConnect Solutions LLC ซึ่งเดิมชื่อ iConnect Soft Solutions LLC และ Garage2Global

แม้ Garage2Global จะอ้างตัวว่าเป็นผู้ให้บริการออกแบบเว็บไซต์ SEO และการตลาดดิจิทัล แต่ The DFIR Report ระบุว่าพบหลักฐานบ่งชี้ว่าบริษัทพัฒนาโครงสร้างพื้นฐานเว็บที่เป็นอันตรายซึ่งถูกใช้ในแคมเปญ SEO poisoning ในฐานะส่วนหนึ่งของกลุ่มหลอกลวง BengalSEO กลุ่มนี้ใช้ความสามารถด้าน SEO และการพัฒนาเว็บที่มีอยู่จริงสร้างและดันหน้าเว็บล่อขึ้นอันดับด้วยเทคนิค Black Hat SEO หลายรูปแบบ แล้วเชื่อมหน้าล่อเหล่านั้นเข้ากับระบบกระจายทราฟฟิกที่ซับซ้อน เพื่อชี้นำ ติดตาม และคัดกรองผู้เข้าชมไปยังเพย์โหลดหรือคอลเซ็นเตอร์ต้มตุ๋น

หนึ่งในเพย์โหลดคือมัลแวร์ที่พัฒนาขึ้นเองชื่อ MayaBot ซึ่งทำหน้าที่เปิดช่องทาง command-and-control เฝ้าติดตามระบบ และปล่อยตัวขุดเงินคริปโท XMRig โดย BengalSEO ใช้ MayaBot ดำเนินปฏิบัติการมาตั้งแต่ปี พ.ศ. 2565 กลุ่มนี้ถูกอธิบายว่ามีแรงจูงใจทางการเงินและมีความรู้ลึกทั้งด้านเทคนิค Black Hat SEO และการพัฒนาเว็บ จึงสร้างเครือข่ายหน้าเว็บล่อจำนวนมากได้อย่างเป็นระบบ พร้อมผสานระบบกระจายทราฟฟิกเข้ามาจัดการการไหลของผู้เข้าชม วัดผลแคมเปญ และอำพรางเนื้อหาจากผู้ตรวจสอบ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 8 กันยายน พ.ศ. 2569 ว่า นักวิจัยด้านความปลอดภัยไซเบอร์ได้เปิดเผยรายละเอียดของแคมเปญ SEO poisoning ที่แผ่ขยายเป็นวงกว้าง ซึ่งนำไปสู่การติดตั้งมัลแวร์และการหลอกลวงแบบ tech support scam โดยอ้างบทวิเคราะห์เชิงเทคนิคที่ The DFIR Report เผยแพร่เมื่อวันที่ 24 สิงหาคม พ.ศ. 2569

จุดเริ่มต้นของปฏิบัติการคือเครือข่ายหน้าเว็บล่อที่ถูกดันขึ้นอันดับด้วยเทคนิค SEO poisoning เพื่อให้ปรากฏบนสุดของผลการค้นหาบน Microsoft Bing หน้าล่อเหล่านี้ปลอมตัวเป็นพอร์ทัลซัพพอร์ตทางเทคนิคและหน้าเปิดใช้งานบริการสตรีมมิงที่ดูถูกต้องตามกฎหมาย นอกจากนี้ยังอ้างว่าให้ดาวน์โหลดโปรแกรมป้องกันไวรัส ซอฟต์แวร์เกม และเครื่องมือด้านภาษี รวมถึงการเปิดใช้งานบัตรเครดิต บัตรสุขภาพ และบัตรของขวัญ

ตัวอย่างหนึ่งคือหน้าล่อที่ดักการค้นหาคำว่า “bitdefender central how to login” เพื่อเสิร์ฟลิงก์ปลอมที่โฮสต์อยู่บน readthedocs[.]io หน้าดังกล่าวมีปุ่ม “Get Started” เด่นชัดซึ่งเป็นจุดเริ่มห่วงโซ่การติดเชื้อ และจะพาผู้ใช้ที่ไม่ทันระวังตัวผ่านโดเมนเปลี่ยนเส้นทางหลายชั้นเพื่อเก็บลายนิ้วมือของเบราว์เซอร์ ก่อนจะส่งไปยังหน้าปลายทางที่เหมาะสมกับเหยื่อรายนั้น

The DFIR Report ระบุว่า BengalSEO ใช้ทั้งการสร้าง backlink การแทรกโค้ดลงใน DOM การสับเปลี่ยนโครงสร้าง DOM และการยัดคีย์เวิร์ด เพื่อขับเคลื่อนปฏิบัติการผ่านเทคนิค Black Hat SEO โดยกลุ่มนี้ใช้การสแปมเนื้อหาที่ผู้ใช้สร้างขึ้นอย่างหนักหน่วงเพื่อผลิต backlink ในปริมาณมาก วิธีการคือถล่มกระทู้และช่องแสดงความคิดเห็นด้วยไฮเปอร์ลิงก์ที่ชี้ไปยังหน้าล่อ เช่น viziocomsetupentercode.github[.]io พร้อมข้อความชักชวนให้ผู้อ่านตั้งค่าสมาร์ตทีวี “อย่างง่ายดาย” ด้วยการทำตามคำแนะนำบนหน้าจอ เฉพาะหน้าล่อ Vizio หน้าเดียวมี backlink ถึง 2,000 รายการจากโดเมนภายนอกที่ไม่ซ้ำกัน 167 โดเมน

กลุ่มนี้ยังอาศัยแพลตฟอร์มโฮสต์หน้าเว็บที่ถูกต้องตามกฎหมายอย่าง github.io, pages.dev, sites.google.com และ readthedocs.io เพื่อช่วยให้ความพยายาม SEO poisoning ได้ผลดีขึ้น ซึ่งน่าจะเป็นการฉวยใช้ความน่าเชื่อถือและชื่อเสียงของบริการเหล่านี้ที่มีผลต่อการจัดอันดับของเสิร์ชเอนจิน นอกจากนี้ The DFIR Report ยังตรวจพบบัญชี GitHub ที่เชื่อมโยงกับ BengalSEO จำนวนมากซึ่งถูกใช้พัฒนาและโฮสต์หน้าล่อ โดยพบบัญชีที่ยังเคลื่อนไหวถึง 84 บัญชีระหว่างเดือนมกราคม พ.ศ. 2567 ถึงเดือนมีนาคม พ.ศ. 2569 และการตรวจสอบประวัติการคอมมิตพบที่อยู่อีเมลที่โยงบัญชีเหล่านั้นเข้ากับโดเมนของ Garage2Global

โครงสร้างพื้นฐานส่วนใหญ่ของ BengalSEO ถูกจดทะเบียนราวเดือนสิงหาคม พ.ศ. 2568 เป็นต้นมา และมีกิจกรรมคึกคักต่อเนื่องจนถึงปลายปี 2568 และต้นปี 2569 โดยจดโดเมนภายใต้ TLD ประเภท .my, .shop และ .info ระหว่างปี พ.ศ. 2566 ถึง 2569 กลุ่มนี้จดโดเมนผ่าน Spaceship เป็นหลักที่สัดส่วน 47.6% ตามด้วย Namecheap ที่ 28.6% ส่วนการโฮสต์กลุ่มนี้เลือกใช้ Cloudflare อย่างหนักที่ 81.1% เพื่อทำหน้าที่พร็อกซีทราฟฟิก โดยมี Hostmaza เป็นโฮสต์ต้นทางของโดเมน 10.0% ทั้งนี้บัญชีหนึ่งที่ดูแลโดเมนเปลี่ยนเส้นทางบางส่วนคือ wapp[.]live ถูก Hostmaza ระงับไปแล้วเมื่อต้นปีนี้

วิธีการโจมตี

แกนกลางของปฏิบัติการคือระบบกระจายทราฟฟิกหรือ TDS ที่ทำหน้าที่เป็นกลไกคัดกรองก่อนส่งเหยื่อไปยังโดเมนที่เก็บเพย์โหลดผ่านห่วงโซ่การเปลี่ยนเส้นทาง ระบบนี้ใช้บริการวิเคราะห์ที่ชูจุดขายเรื่องความเป็นส่วนตัวอย่าง Matomo ซึ่งเป็นบริการที่ถูกต้องตามกฎหมาย มาทำหน้าที่ติดตามและเก็บลายนิ้วมือของเหยื่อ การเลือกใช้เครื่องมือที่ถูกกฎหมายแบบนี้ทำให้ทราฟฟิกที่เกิดขึ้นดูไม่ต่างจากเว็บไซต์ทั่วไปในสายตาของระบบตรวจจับ

เทคนิคที่น่าสนใจที่สุดในชุดนี้คือ DOM Shuffling ซึ่งหมายถึงการเรียงลำดับองค์ประกอบ HTML ใหม่แบบพลวัตด้วยโค้ด JavaScript ที่ฝังไว้ เพื่อสุ่มโครงสร้างของ Document Object Model ผลคือคู่มือการตั้งค่าฉบับเดียวกันที่ถูกกระจายไปบนโดเมนหลายร้อยโดเมนจะปรากฏต่อเว็บครอว์เลอร์ราวกับเป็นเนื้อหาที่ไม่ซ้ำกัน ทำให้เลี่ยงตัวกรองสแปมไปได้ ส่วนการยัดคีย์เวิร์ดและการแทรกโค้ดลงใน DOM ก็ทำหน้าที่เสริมการจัดอันดับในทิศทางเดียวกัน

ก่อนที่เหยื่อจะถูกส่งไปยังหน้าเพย์โหลดหลัก โดเมนเปลี่ยนเส้นทางที่อยู่ในระบบ TDS จะแสดงแบบทดสอบ Cloudflare Turnstile หรือ hCaptcha ขึ้นมาเพื่อกรองตัวสแกนอัตโนมัติ ครอว์เลอร์ บอต และผู้เยี่ยมชมที่ไม่พึงประสงค์ออกไปก่อน ทั้งหน้าล่อและหน้าปลายทางจะฝังสคริปต์ติดตามของ Matomo ไว้เพื่อสร้างโปรไฟล์เบราว์เซอร์ฝั่งไคลเอนต์ แล้วส่งข้อมูลไปยังโดเมน stats.us3[.]org การค้นหาโดเมนนี้บน urlscan.io ให้ผลลัพธ์ 1,112 รายการ ณ เวลาที่เขียนรายงาน ลดลงจาก 1,190 รายการในช่วงที่วิเคราะห์ ทั้งนี้ Matomo ไม่ใช่ระบบวิเคราะห์เพียงระบบเดียวที่ BengalSEO ใช้ เพราะหน้าล่อที่อยู่บนแพลตฟอร์มอย่าง github.io และ pages.dev มักใช้บริการอย่าง Google Tag Manager แทน

ปลายทางของห่วงโซ่การเปลี่ยนเส้นทางคือหน้าที่มีลิงก์ดาวน์โหลดและคำแนะนำการใช้ซอฟต์แวร์ปลอม เมื่อผู้ใช้กดปุ่ม “Download for Windows” ระบบจะดาวน์โหลดไฟล์ ZIP ให้ แล้วเปลี่ยนเส้นทางผู้ใช้ไปยังหน้าซอฟต์แวร์ของจริงหลังผ่านไป 40 วินาที ซึ่งเป็นลูกเล่นที่ทำให้เหยื่อเชื่อว่าตนมาถูกที่ ภายในไฟล์ ZIP คือ dropper ที่เขียนด้วย JavaScript สำหรับ MayaBot ซึ่งปลอมตัวเป็นไฟล์ปฏิบัติการของโปรแกรมที่เพิ่งดาวน์โหลดมาในขั้นก่อนหน้า เมื่อถูกเรียกใช้ JavaScript จะทำงานผ่าน wscript.exe เพื่อเริ่มกระบวนการติดเชื้อ MayaBot

ในบางกรณีหน้าปลายทางไม่ได้เสิร์ฟเพย์โหลดใด ๆ เลย แต่เปลี่ยนเส้นทางเหยื่อไปยังหน้าติดต่อที่สั่งให้โทรไปยังเบอร์ของคอลเซ็นเตอร์ต้มตุ๋นของ BengalSEO เพื่อแก้ปัญหากิจกรรมน่าสงสัยที่อ้างว่าเกิดขึ้นกับบัญชี Bitdefender Central ของเหยื่อ นอกจากนี้หน้าล่อยังถูกอัปเดตอย่างต่อเนื่องผ่านการคอมมิตเพื่อหมุนเวียนโดเมนเปลี่ยนเส้นทาง หรือแทนที่ด้วย URL ที่ถูกต้องตามกฎหมายชั่วคราวเพื่อเลี่ยงการตรวจจับ และเพื่อเปลี่ยนโดเมนที่ถูกบล็อกหรือถูกถอดออกไปแล้ว

ผลกระทบ

การเปิดเผยครั้งนี้เกิดขึ้นในช่วงเดียวกับที่บริษัท Check Point Research เผยรายละเอียดแคมเปญที่พุ่งเป้าหน่วยงานรัฐบาลและสถาบันการศึกษาของบราซิลมาตั้งแต่กลางปี พ.ศ. 2568 เพื่อเปลี่ยนเว็บไซต์ของหน่วยงานเหล่านั้นให้กลายเป็นอาวุธสำหรับการปั่นอันดับ SEO กิจกรรมดังกล่าวถูกระบุว่าเป็นฝีมือของกลุ่มอาชญากรไซเบอร์ที่ใช้ภาษาจีนชื่อ Gambling Goblin ซึ่งมีความเชื่อมโยงกับ Earth Berberoka หรือที่รู้จักในชื่อ GamblingPuppet กลุ่มที่เล็งเว็บไซต์การพนันทั่วเอเชียมาตั้งแต่อย่างน้อยปี พ.ศ. 2563

Check Point ระบุว่ากลุ่มนี้เปิดเครือข่ายฟิชชิงที่แปลเป็นภาษาท้องถิ่นทั้งโปรตุเกส เวียดนาม สเปน และอังกฤษ พร้อมดูแลโครงสร้างพื้นฐานที่สร้างโดเมนใหม่ทุกวัน ซึ่งสะท้อนว่านี่ไม่ใช่การทดลองระดับภูมิภาค แต่เป็นโมเดลที่ออกแบบมาเพื่อขยายขนาดไปทั่วโลก แคมเปญนี้ติดตั้งโมดูล Apache ที่เป็นอันตรายบนเซิร์ฟเวอร์ของเหยื่อ เพื่อทำ reverse proxy ส่งผู้เข้าชมไปยังหน้าฟิชชิงที่ผู้โจมตีควบคุมอย่างลับ ๆ ในขณะที่ทราฟฟิกยังดูเหมือนมาจากโดเมนที่ถูกต้อง และมีการลบส่วนหัว Content-Security-Policy ของเว็บไซต์เพื่อให้เนื้อหาที่ถูกแทรกเข้าไปทำงานได้โดยไม่ถูกบล็อก

เมื่อหาทางเข้ามาได้แล้ว ผู้โจมตีจะติดตั้งชุดเครื่องมือสำหรับลินุกซ์ซึ่งประกอบด้วยตัวดาวน์โหลดที่เขียนด้วยภาษา Go ชื่อ DownPro แบ็กดอร์หลายตัวได้แก่ AlphaAgent, ChUser และ oRAT สำหรับรับคำสั่งและควบคุมระยะไกล ตัวขโมยรหัสผ่านที่พัฒนาจาก 3snake ตัวเดารหัส SSH แบบ brute force และเอเจนต์สำรวจที่ทำงานด้วยปลั๊กอิน ส่วนเส้นทางการเข้าถึงครั้งแรกยังไม่ทราบแน่ชัด หน้าฟิชชิงที่ใช้ปลอมตัวเป็นร้านค้าแอปที่ผู้คนไว้ใจอย่าง Google Play, Microsoft Store และ Amazon โดยอาศัยชื่อเสียงของโดเมนที่ถูกยึดมาดันอันดับการค้นหาเพื่อผลักดันการพนันออนไลน์และการเดิมพันกีฬา

Check Point เตือนว่าเป้าหมายที่เป็นไปได้มากที่สุดคือการปั่นอันดับ SEO ในระดับมหภาค ด้วยการยึดโดเมนที่มีชื่อเสียงสูงซึ่งจำนวนมากเป็นเว็บไซต์ของรัฐบาลบราซิล มายืมความน่าเชื่อถือดันเนื้อหาของตนเองขึ้นอันดับและดูดทราฟฟิกที่ตามมา แต่โครงสร้างพื้นฐานชุดเดียวกันนี้สามารถใช้เพื่อเป้าหมายที่อันตรายกว่าได้ เพราะหน้าฟิชชิงที่ปลอมเป็นแหล่งดาวน์โหลดแอปทำให้ผู้ปฏิบัติการอยู่ห่างจากการผลักมัลแวร์เข้าเครื่องเหยื่อโดยตรงเพียงก้าวเดียว

สำหรับผู้ใช้ทั่วไป ผลกระทบที่จับต้องได้ที่สุดคือความเชื่อที่ว่าผลการค้นหาอันดับต้น ๆ คือแหล่งที่เชื่อถือได้นั้นใช้ไม่ได้อีกต่อไป และรูปแบบการค้นหาที่เสี่ยงที่สุดคือการค้นคำว่า “วิธีล็อกอิน” “วิธีเปิดใช้งาน” หรือ “ดาวน์โหลด” ตามด้วยชื่อผลิตภัณฑ์ ซึ่งเป็นพฤติกรรมที่พบได้ทั่วไปมากที่สุดเวลาผู้ใช้ติดปัญหา ส่วนองค์กรที่ดูแลเว็บไซต์ซึ่งเปิดให้ผู้ใช้โพสต์เนื้อหาได้ก็กลายเป็นส่วนหนึ่งของปัญหาโดยไม่รู้ตัว เพราะกระทู้และช่องแสดงความคิดเห็นที่ไม่มีการควบคุมคือแหล่งผลิต backlink ให้แคมเปญเหล่านี้โดยตรง

คำแนะนำ

สำหรับผู้ดูแลระบบ มาตรการแรกคือบล็อกโดเมนและตรวจสอบย้อนหลังในล็อกพร็อกซีและ DNS ด้วยตัวบ่งชี้ในตารางด้านล่าง โดยให้ความสำคัญเป็นพิเศษกับการเรียกไปยัง stats.us3[.]org ซึ่งเป็นจุดรวมข้อมูลลายนิ้วมือของเหยื่อ เพราะการพบการเรียกไปยังโดเมนนี้หมายความว่ามีผู้ใช้ในองค์กรเดินเข้าไปถึงหน้าล่อแล้ว ไม่ใช่แค่เห็นลิงก์ในผลการค้นหา

มาตรการที่สองคือตรวจสอบพฤติกรรมการรัน JavaScript ผ่าน wscript.exe ที่มีต้นทางจากไฟล์ที่ถูกแตกออกมาจากไฟล์ ZIP ในโฟลเดอร์ดาวน์โหลด ซึ่งเป็นจุดเริ่มการติดเชื้อ MayaBot ที่ชัดเจนที่สุด องค์กรที่ควบคุมได้ควรปิดการเชื่อมโยงไฟล์ .js และ .jse กับ Windows Script Host ผ่าน Group Policy ไปเลย เพราะผู้ใช้ทั่วไปแทบไม่มีเหตุผลต้องเปิดไฟล์สคริปต์โดยตรง นอกจากนี้ควรเฝ้าสัญญาณของการขุดเหรียญอย่างการใช้ CPU สูงผิดปกติต่อเนื่องและการเชื่อมต่อไปยัง mining pool

มาตรการที่สามคือปรับที่พฤติกรรมผู้ใช้ ด้วยการสื่อสารให้ชัดว่าการค้นหาชื่อผลิตภัณฑ์แล้วกดผลลัพธ์อันดับต้นเพื่อดาวน์โหลดหรือล็อกอิน เป็นเส้นทางที่ถูกโจมตีโดยตรง วิธีที่ปลอดภัยกว่าคือพิมพ์โดเมนของผู้ผลิตเองหรือใช้บุ๊กมาร์กที่บันทึกไว้ และควรย้ำว่าหน้าเว็บที่โฮสต์บน github.io, pages.dev, sites.google.com หรือ readthedocs.io ไม่ได้แปลว่าเป็นหน้าทางการของผลิตภัณฑ์ใด ๆ แม้โดเมนแม่จะเป็นบริการที่น่าเชื่อถือก็ตาม

สุดท้าย องค์กรที่เปิดให้ผู้ใช้สร้างเนื้อหาบนเว็บไซต์ของตนควรตรวจสอบว่ามีการสแปมลิงก์ในกระทู้หรือช่องแสดงความคิดเห็นหรือไม่ และตั้งค่า rel="nofollow ugc" กับลิงก์ที่ผู้ใช้โพสต์เป็นค่าเริ่มต้น เพื่อไม่ให้เว็บไซต์ของตนกลายเป็นเครื่องมือดันอันดับให้หน้าล่อ ส่วนผู้ดูแลเว็บเซิร์ฟเวอร์ควรตรวจรายการโมดูล Apache ที่โหลดอยู่จริงเทียบกับรายการที่ควรมี และตรวจว่าส่วนหัว Content-Security-Policy ยังถูกส่งออกครบถ้วน เนื่องจากการหายไปของส่วนหัวนี้เป็นสัญญาณที่ใช้ได้ในแคมเปญของ Gambling Goblin

Indicators of Compromise (IoCs)

ตัวบ่งชี้ทั้งหมดถูก defang แล้ว (แทน . ด้วย [.]) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ

แหล่งอ้างอิง

• BengalSEO Poisons Bing Search Results to Deliver MayaBot and Tech Support Scams — The Hacker News
• BengalSEO Part 1: Anatomy of the Operation — The DFIR Report
• Content-Security-Policy — MDN Web Docs