'BengalSEO'라는 이름의 사이버 범죄 조직이 마이크로소프트 Bing 검색 결과를 조작해 악성 사이트를 상위에 노출시키고 있습니다. 피해자가 해당 사이트에서 가짜 소프트웨어를 내려받으면 'MayaBot'이라는 악성코드가 설치되어 해커의 명령을 받거나 암호화폐 채굴에 악용됩니다. 이 조직은 인도 라자스탄주에 기반하며 2015년부터 활동해 왔고, 스트리밍 서비스 인증·백신 프로그램·게임·세금 유틸리티 등을 사칭한 가짜 페이지를 수백 개 운영하고 있습니다. 아울러 중국어권 사이버 범죄 집단인 Gambling Goblin도 브라질 정부·교육기관 웹사이트를 해킹해 비슷한 방식으로 검색 순위를 조작하고 있어 유사 수법의 피해가 전 세계로 번지는 추세입니다. 기업 담당자는 직원들이 검색 결과 상위 링크라도 소프트웨어 다운로드 전 출처를 반드시 확인하도록 교육하고, 비공식 경로의 실행 파일 실행을 차단하는 정책을 점검할 필요가 있습니다.
BengalSEO 집단이 블랙햇 SEO 기법(백링크 대량 생성·DOM 셔플링·키워드 스터핑)으로 Bing 검색 결과를 조작하여 가짜 기술지원·소프트웨어 다운로드 페이지로 사용자를 유인하고 있다. 피해자가 가짜 ZIP 파일을 실행하면 MayaBot 악성코드에 감염되거나 사기 콜센터로 연결된다.
MayaBot에 감염된 시스템은 XMRig 암호화폐 채굴기를 강제 구동하고 C2(명령·제어) 채널을 통해 공격자의 추가 명령을 수행한다. github.io·readthedocs.io 등 신뢰도 높은 플랫폼을 악용하므로 일반 보안 필터를 우회할 위험이 있다.
검색 엔진 순위 알고리즘을 악용한 SEO 조작이 핵심 원인이다. 합법적 호스팅 플랫폼(GitHub Pages, Cloudflare Pages 등)에 가짜 페이지를 올려 검색 엔진의 신뢰 지표를 높이고, Cloudflare Turnstile·hCaptcha로 자동 탐지를 회피한다.
DFIR Report가 2026년 3월 해당 캠페인을 발견·공개하였으며, Hostmaza는 관련 계정 일부를 정지시켰다. Check Point Research도 유사 수법을 사용하는 Gambling Goblin 집단의 활동을 별도로 공개했다.
직원 교육 시 '검색 상위 결과=안전'이라는 인식을 교정해야 한다. 소프트웨어는 공식 벤더 사이트에서만 내려받도록 정책을 강제하고, 엔드포인트 보안 솔루션에서 wscript.exe를 통한 JavaScript 실행 이벤트를 모니터링하는 것이 효과적이다.
본문
사이버보안 연구원들이 악성코드 배포와 기술지원 사기로 이어지는 대규모 검색엔진 최적화(SEO) 포이즈닝 캠페인의 세부 내용을 공개했다.
DFIR Report가 2026년 3월 발견한 이 캠페인은 BengalSEO라는 코드명이 붙었다. 이 캠페인은 WeConnect Solutions LLC(구 iConnect Soft Solutions LLC)와 Garage2Global이라는 두 IT 서비스 업체를 통해 적어도 2015년부터 인도 라자스탄주를 거점으로 운영되고 있다.
Garage2Global은 웹사이트 디자인·SEO·디지털 마케팅 서비스 업체를 자처하지만, 해당 사이버 위협 인텔리전스 플랫폼은 이 회사가 BengalSEO 사기 클러스터의 일환으로 SEO 포이즈닝 캠페인에 사용되는 악성 웹 인프라를 개발하고 있다는 증거를 확인했다고 밝혔다.
DFIR Report는 지난달 말 발표한 기술 분석 보고서에서 "이 그룹은 광범위한 SEO 및 웹 개발 역량을 활용해 다양한 블랙햇 SEO 기법으로 루어(lure) 페이지를 만들고 홍보한다"고 설명했다. "이 루어 페이지들은 정교한 트래픽 분배 시스템과 연동되어 트래픽을 페이로드(악성 파일) 및 기술지원 사기로 유도·추적·필터링한다."
페이로드 중 하나는 MayaBot이라는 커스텀 악성코드로, C2(명령·제어) 활성화, 시스템 모니터링, XMRig 암호화폐 채굴기 배포를 담당한다. BengalSEO는 2022년부터 MayaBot을 활용해 그룹의 작전을 수행해 온 것으로 알려졌다.
금전적 이익을 목적으로 하는 이 위협 행위자는 블랙햇 SEO 기법과 웹 개발에 대한 광범위한 지식을 갖추고, 가짜 루어 페이지 클러스터를 만들어 MayaBot 악성코드를 배포하거나 피해자가 사기 콜센터에 전화하도록 유인한다. 또한 정교한 TDS(트래픽 분배 시스템)를 통합해 트래픽 흐름, 캠페인 성과, 클로킹(cloaking)을 처리한다.
구체적으로 TDS는 리다이렉터 체인을 통해 피해자를 페이로드 전달 도메인으로 유도하는 게이팅 메커니즘 역할을 하며, Matomo라는 합법적인 프라이버시 우선 분석 서비스를 피해자 추적 및 핑거프린팅에 활용한다.
작전의 시작점은 마이크로소프트 Bing 검색 결과 상위에 노출되도록 SEO 포이즈닝 기법으로 홍보된 악성 루어 페이지 네트워크다. 이 가짜 페이지들은 스트리밍 서비스의 합법적인 기술지원 및 서비스 활성화 포털을 사칭하며, 백신 도구·게임 소프트웨어·세금 유틸리티 다운로드 및 신용카드·의료카드·기프트카드 활성화를 제공한다고 주장한다.
한 사례에서는 "bitdefender central how to login" 검색을 가로채 readthedocs[.]io에 호스팅된 가짜 링크를 제공하는데, 거대한 "Get Started" 버튼이 감염 체인을 트리거하여 무고한 사용자를 리다이렉터 도메인 네트워크를 통해 라우팅하고 브라우저를 핑거프린팅한 뒤 적절한 최종 랜딩 페이지로 이동시킨다.
DFIR Report는 "BengalSEO는 백링크, DOM 인젝션, DOM 셔플링, 키워드 스터핑 등 블랙햇 SEO 기법으로 작전을 펼쳤다"고 밝혔다. "BengalSEO는 대규모 백링크 생성을 위해 공격적인 UGC(사용자 생성 콘텐츠) 스팸을 활용한다."
이는 포럼과 댓글란에 루어 페이지(예: "viziocomsetupentercode.github[.]io") 링크를 대량으로 남기며 독자들에게 "간단한 화면 안내를 따라" 스마트 TV를 "쉽게" 설정하라고 유도하는 방식이다. Vizio 가짜 페이지의 경우 2,000개의 백링크와 167개의 외부 고유 도메인이 해당 사이트에 링크되어 있다.
이는 BengalSEO가 검색 엔진 순위 알고리즘을 조작하고 검색 결과에서 루어 페이지의 가시성을 인위적으로 높이기 위해 대량의 백링크에 크게 의존하고 있음을 보여준다.
반면 DOM 셔플링은 JavaScript 코드를 내장해 HTML 요소를 동적으로 재배열함으로써 DOM(문서 객체 모델) 구조를 무작위화하는 기법이다. 이를 통해 수백 개의 도메인에 걸쳐 배포된 동일한 설정 가이드가 웹 크롤러에게 고유하게 보이고 스팸 필터를 우회할 수 있다.
메인 페이로드 페이지가 제공되기 전, TDS 기반 리다이렉터 도메인은 자동화된 스캐너·크롤러·봇 및 기타 원하지 않는 방문자를 걸러내기 위해 Cloudflare Turnstile 또는 hCaptcha 챌린지를 표시한다. 루어 페이지와 랜딩 페이지에는 클라이언트 측에서 브라우저를 프로파일링하고 해당 정보를 "stats.us3[.]org" 도메인으로 전송하는 Matomo 추적 스크립트가 내장되어 있다. "stats.us3[.]org" 도메인을 urlscan.io에서 검색하면 분석 당시 1,190건에서 줄어든 1,112건의 결과가 나온다(작성 시점 기준).
DFIR Report는 "Matomo가 BengalSEO가 사용한 유일한 분석 시스템은 아니었으며, github.io나 pages.dev 같은 호스팅 플랫폼의 루어 페이지들은 주로 Google Tag Manager 같은 분석 서비스를 사용했다"고 밝혔다.
리다이렉션 체인의 끝에는 가짜 소프트웨어 다운로드 링크와 사용 안내가 담긴 최종 랜딩 페이지가 있다. 사용자가 "Download for Windows" 버튼을 클릭하면 ZIP 아카이브가 내려받아지고, 40초 후 합법적인 소프트웨어 페이지로 리다이렉트된다. 페이로드 전달에 사용된 도메인 일부는 다음과 같다:
- ustechnio[.]com
- tax.dll[.]lat
- u320[.]my
- reficon[.]pro
- ñ[.]link
- pltechoo[.]pro
ZIP 파일 안에는 이전 단계에서 다운로드한 프로그램의 실행 파일로 위장한 MayaBot용 JavaScript 드로퍼가 들어 있다. 실행 후 JavaScript는 "wscript.exe"를 통해 실행되어 MayaBot 감염을 시작한다.
또는 일부 경우에는 최종 페이지에서 페이로드를 제공하지 않고 피해자를 연락처 페이지로 리다이렉트하여, Bitdefender Central 계정과 관련된 의심스러운 활동 문제를 해결하기 위해 BengalSEO 사기 번호에 전화하도록 안내한다.
BengalSEO는 github.io, pages.dev, sites.google.com, readthedocs.io 같은 합법적인 웹 페이지 호스팅 플랫폼을 SEO 포이즈닝에 활용하는 것으로 확인됐는데, 이는 검색 엔진 순위에 영향을 미치는 이러한 서비스의 신뢰도와 평판을 무기화하는 것으로 보인다.
DFIR Report는 루어 페이지 개발 및 호스팅에 사용된 다수의 BengalSEO 연관 GitHub 계정도 식별했다. 이 가짜 페이지들은 리다이렉터 도메인을 교체하거나 차단·삭제된 도메인을 합법적인 URL로 임시 대체하기 위해 커밋을 통해 지속적으로 업데이트되어 탐지를 회피한다.
2024년 1월부터 2026년 3월 사이에 활성화된 BengalSEO GitHub 계정이 최대 84개 탐지됐다. 이 계정들의 커밋 기록을 추가 분석한 결과, Garage2Global 도메인("wc[.]ci")과 연결된 이메일 주소가 확인됐다. 일부 GitHub 계정과 그에 연결된 Garage2Global 주소 샘플은 다음과 같다:
- activate-uhc-com-ucard - archi.jaing.2g@gmail.com
- activate-uhc-helpbook - kamre@wc.ci
- capitalonecredit - gracyurvashi36g2g@gmail.com
- help-line-center - janvig2g@gmail.com
- snehajaing2g - snehajaing2g@gmail
BengalSEO 인프라의 상당 부분은 2025년 8월 전후에 등록된 것으로 알려졌으며, 2025년 말과 2026년 초에도 활발한 활동이 지속됐다. 도메인들은 .my, .shop, .info 최상위 도메인(TLD)으로 등록되어 있다.
DFIR Report는 "2023년부터 2026년 사이 BengalSEO는 주로 Spaceship(47.6%)과 Namecheap(28.6%)을 통해 도메인을 등록했다"고 밝혔다. "호스팅의 경우 Cloudflare(81.1%)를 트래픽 프록시로 크게 선호했으며, Hostmaza가 도메인의 10.0%에 대한 오리진 호스트 역할을 했다." 일부 리다이렉터 도메인("wapp[.]live")을 관리하던 계정은 올해 초 Hostmaza에 의해 정지됐다.
이번 공개는 Check Point Research가 2025년 중반부터 브라질 정부 및 교육기관 웹사이트를 표적으로 SEO 조작 무기화에 활용하는 지속적 캠페인의 세부 내용을 공유한 것과 맞물린다. 이 활동은 Gambling Goblin이라는 중국어권 사이버 범죄 클러스터의 소행으로 추정되며, 이 집단은 적어도 2020년부터 아시아 전역의 도박 웹사이트를 집중 공격해 온 위협 행위자 Earth Berberoka(일명 GamblingPuppet)와 연관된 것으로 알려졌다.
이 사이버보안 기업은 The Hacker News에 "이 그룹은 포르투갈어·베트남어·스페인어·영어로 현지화된 피싱 네트워크를 운영하는 동시에 매일 새 도메인을 생성하는 인프라를 유지하고 있다"고 밝혔다. "이러한 결과들을 종합하면, 이것은 지역적 실험이 아니라 글로벌 규모로 설계된 모델임을 시사한다."
이 캠페인은 피해자 서버에 악성 Apache 모듈을 설치해 방문자를 공격자가 제어하는 피싱 페이지로 은밀하게 역방향 프록시하는 방식을 사용하며, 트래픽은 여전히 합법적인 도메인에서 발생하는 것처럼 보인다. 주입된 콘텐츠가 차단 없이 실행될 수 있도록 사이트의 CSP(콘텐츠 보안 정책) 헤더가 제거된다.
초기 침투 후 위협 행위자들은 커스텀 Go 기반 다운로더(DownPro), 운영자 명령 실행 및 원격 제어를 위한 여러 백도어(AlphaAgent, ChUser, oRAT), 3snake 기반 패스워드 탈취 도구, SSH 브루트포서, 플러그인 기반 정찰 에이전트로 구성된 Linux 툴킷을 배포한다. 공격자들은 방문자를 피싱 페이지로 프록시하는 커스텀 Apache 모듈도 설치하는 것으로 확인됐다. 정확한 초기 침투 경로는 알려지지 않았다.
피싱 페이지는 Google Play, Microsoft Store, Amazon 같은 신뢰할 수 있는 앱 스토어를 사칭하며, 높은 신뢰도의 도메인을 활용해 검색 순위를 높이고 궁극적으로 온라인 도박 및 스포츠 베팅을 홍보한다.
Check Point는 "유력한 목표는 대규모 SEO 조작"이라고 밝혔다. "신뢰할 수 있는 고평판 도메인, 특히 다수의 브라질 정부 사이트를 탈취함으로써 운영자들은 그 평판을 빌려 자신들의 콘텐츠를 검색 순위 상위로 밀어올리고 그에 따른 트래픽을 가로챈다. 그러나 동일한 인프라가 더 위험한 목적에도 활용될 수 있다. 피싱 페이지들이 Google Play, Microsoft Store, Amazon 같은 앱 다운로드 사이트를 사칭하고 있어, 운영자들이 피해자에게 직접 악성코드를 배포하는 것까지 단 한 발짝밖에 남지 않은 상황이다."
