«За лаштунками»: як діють криптошахраї
Перенаправлення Bing та DuckDuckGo

Два вектори атаки

Наше розслідування виявило, що дві абсолютно різні, паралельні операції які працюють одночасно, щоб вивести фішингові сайти на перші позиції у результатах пошуку Bing та DuckDuckGo.

Вектор А: Атака типу «SERP Injection» на Yahoo

Це, мабуть, найбільш витончене з технічної точки зору атака «чорного SEO», яку ми зафіксували у 2026 році. Вона використовує фундаментальний недолік у тому, як Bing оцінює авторитетність посилань — а саме, його нездатність розрізняти справжні редакційні посилання та динамічно згенеровані сторінки результатів пошуку з надійних доменів.

Отриманий від Yahoo показник авторитетності (AS 24) передається через сторінки мобільного пошуку на фішингові домени — Bing сприймає цей сигнал як достовірний

Механізм — крок за кроком

Крок 1 — Створення URL-адреси надійного оператора. Зловмисники створюють URL-адреси на мобільних пошукових серверах Yahoo у різних міжнародних піддоменах: no.search.yahoo.com (Норвегія), fr.search.yahoo.com (Франція), mx.search.yahoo.com (Мексика), pl.search.yahoo.com (Польща), gr.search.yahoo.com (Греція), qc.search.yahoo.com (Квебек), chfr.search.yahoo.com (швейцарський французький), co.search.yahoo.com (Колумбія). Ці сторінки мають показник авторитетності, успадкований від Yahoo: 23–24.

Крок 2 — Вставлення фішингового посилання. Кожен URL містить абсолютно випадковий, нешкідливий пошуковий запит — «pele+fifa», «Jean-Paul+Sartre», «Radio+Stars», «jucheck.exe» — але текст посилання виглядає так: curvefi.co Curve Finance. Рандомізовані запити гарантують, що спам-фільтри не зможуть виявити закономірності.

Крок 3 — Примусове сканування та індексація. Зловмисники змушують Bingbot сканувати ці URL-адреси, використовуючи сервіси масового пінгу, вставку коментарів на форумах та в блогах, а також інструменти для автоматичного запуску сканування.

Необроблені дані SEMrush — curvefi.co

Жорстока іронія: На сайті є нуль органічні ключові слова, нуль трафік у базі даних SEMrush — проте він з’являється у результатах Bing/DDG за запитом «Curve Finance» завдяки авторитету, запозиченому у Yahoo.

Вектор B: Скоординована мережа PBN

Саме тут розслідування набуває справді тривожного характеру. П’ять окремих фішингових сайтів — rabbys.at, dexscreener.at, monero-wallet.at, trezorsuite.at та keplr.me — всі вони мають спільну однаковий набір джерел зворотних посилань. Це не випадковість. Це єдина організована злочинна операція проведення декількох фішингових кампаній з однієї інфраструктури.

Один оператор, 9 донорів PBN, 5 об’єктів фішингових атак — ймовірність того, що це збіг, становить приблизно 0,00001%

«The Smoking Gun» — Спільна інфраструктура

Профілі фішингових доменів

«Стаття-ферма» на базі штучного інтелекту

У варіанті aster-dex.at використовується гібридний підхід, поєднуючи вставку посилань на Yahoo з контентом блогів, згенерованим за допомогою штучного інтелекту, який розміщувався на зламаних або спеціально створених для цього сайтах у В’єтнамі, Італії, Індонезії та Швейцарії.

Статті, створені штучним інтелектом, на зламаних сайтах — однакові заголовки, різні домени, усі з посиланнями на один і той самий фішинговий ресурс

Усі статті в блозі мають майже однакові заголовки: «Чому обмін токенів і пули ліквідності досі стають каменем спотикання навіть для досвідчених трейдерів на DEX», «Чому автоматизовані маркет-мейкери досі дивують трейдерів». Це Статті, створені за допомогою штучного інтелекту розміщені на сайтах з AS 21–36, усі з яких містять посилання на aster-dex.at.

Проникнення спаму у коментарях

keplr.me використовує зовсім інший підхід — суто спам у коментарях на не пов’язаних між собою сайтах з високим авторитетом. Під вигаданими іменами користувачів, такими як «ZackaryThymn», «Fritzkah», «Jamesboach», на сайтах, присвячених філософії та освіті, розміщуються посилання на криптовалютні гаманці (filozofija.edu.rs, AS 45), платформи для підвищення залученості співробітників (bavave.com, AS 63) та мистецькі фестивалі (lea-festival.com, AS 50).

Законні сайти, які, не знаючи про це, розміщують фішингові посилання — приховані серед коментарів користувачів, що виглядають цілком звичайно

Дно бочки: спам з автоматизованими інструментами

bscscan.cfd використовує найпримітивніший із можливих методів: платні пакети масових зворотних посилань із сайтів, які буквально називаються rankongoogle.agency та linksjump.click. Усі джерела мають показник AS = 0. Домен верхнього рівня .cfd є відомим індикатором спаму. Проте в Bing навіть це частково працює — кількість посилань низької якості може впливати на позиції в рейтингу на абсолютно нових доменах, які не мають негативної історії.

«1000 зворотних посилань за 9,99 доларів» — найдешевші шахрайські інструменти для SEO досі частково працюють у Bing

Чому саме Bing і DuckDuckGo є особливо вразливими

Багаторівневий захист Google від спаму проти менш досконалого механізму виявлення Bing — ця різниця, якою користуються шахраї

Стратегія таргетингу за ключовими словами

Профілі ключових слів показують, що хірургічна точність при виборі цільових слів. Оператори орієнтуються не лише на основні терміни, пов’язані з брендом, а й на типосквоти («гаманець раббі», «гаманець Рубі», «dexscrenner») і навіть запити китайською мовою («Біржа Aster» 25-те місце).

Багатомовне охоплення: англійська, французька, китайська, в’єтнамська — діяльність охоплює різні континенти

Історичний контекст: Проблема з Trust Wallet та DuckDuckGo

Навіть після того, як Trust Wallet відмовився від використання DDG як пошукової системи за замовчуванням, ця вразливість залишається. Будь-який користувач, який ручним способом обирає DuckDuckGo з міркувань конфіденційності — група населення, яка значною мірою збігається з колом користувачів криптовалют, — і досі залишається вразливою саме до таких атак. Шахрайські операції, описані в цьому звіті, використовують різні варіації цієї техніки вже протягом кілька років, пристосовуючись до того, як пошукові системи поступово усувають окремі вразливості.

Як захистити себе

• НІКОЛИ підключіть свій гаманець із результату пошуку
• Додати до закладок безпосередньо на офіційні сайти
• Використовуйте DDG !bang скорочення: !g curve finance використовує пошук Google
• Встановіть розширення MetaMask для виявлення фішингу
• Перевірте будь-який домен на сайті PhishDestroy перед підключенням

Рекомендації для Microsoft/Bing

1. Динамічне виявлення сторінок: Класифікувати сторінки результатів пошуку (Yahoo, Baidu, Google) та виключати вагу посилань із вихідних посилань
2. Координоване виявлення PBN: Якщо 9 доменів посилаються на 5 різних сайтів за однаковою схемою, позначте це як маніпуляцію
3. Рівень імітації бренду: Виявлення атак із заміною доменів верхнього рівня (dexscreener.at ≈ dexscreener.com)
4. Моніторинг домену .AT: Посилений контроль за новозареєстрованими доменами .at у пошуковій видачі за криптовалютами
5. Швидкий доступ до DuckDuckGo: Створити спеціальний API для видалення спаму, до якого DDG матиме прямий доступ

Докази є загальнодоступними. Домени задокументовані. Жертви — реальні. Вирішення проблеми — у руках Microsoft.

Один оператор. 26 фішингових посилань у Bing. Вартість: 2 долари за домен.

Один оператор, 26 доменів, один реєстратор

Ми провели пошук за RDAP для всіх 26 фішингових доменів. Кожен із них вказав на одного й того самого реєстратора: NiceNIC International Group Co., Limited. Не «більшість». Не «переважна більшість». Усі 23 запити з 23 виконано успішно — один і той самий реєстратор, у якого до перевірки було зафіксовано 3 помилки, пов’язані з обмеженням частоти запитів (моделі їхньої інфраструктури збігаються).

23 з 23 перевірено. Той самий реєстратор. Той самий клієнт. Жодних заходів щодо зловживань.

Реєстраційні дані RDAP — Докази пакетної реєстрації

Посібник за 2 долари — крок за кроком

Забудьте про складне SEO. Забудьте про місяці роботи над розбудовою посилань. Ось повна, перевірена послідовність дій, яка забезпечує перше місце в результатах пошуку Bing.

Чотири кроки, 2 долари — і Bing виводить фішинговий сайт на перше місце

Крок 1: Реєстр «typosquat»

Крок 2: Створити копію тегу заголовка ($0, 5 хвилин)

Оператор копіює точну <title> тег і метаопис з веб-сайту реального проєкту. Це найважливіший крок. Сама сторінка призначена для викачування коштів із гаманців або викрадення фраз-сімен — але <title> саме це й враховує Bing при ранжуванні.

Крок 3: Додати посилання до прихованої мережі PBN (0 доларів, 1 хвилина)

Оператор відвідує будь-який із 15 об’єктів PBN (bye.fyi, atomizelink.icu, тощо), вводить домен у поле з написом «Введіть URL-адресу» та натискає кнопку «Скоротити». Одне натискання кнопки створює сторінку одночасно на всіх 15 сайтах — вони використовують одну базу даних.

Крок 4: Зачекайте (2–8 тижнів, 0 доларів)

Розподіл загальних витрат

Всередині механізму маскування

Ми отримали та проаналізували фактичний вихідний HTML-код із мережі PBN. На кожній сторінці кожного домену працює одна й та сама система маскування.

Що бачать користувачі, а що бачить Bingbot — це z-index: 1000000 за цією стіною ховається 3 500 посилань

Архітектура сторінки: 400 КБ HTML, понад 3 500 посилань, 4 рівні

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://PHISHING-TARGET.finance">PHISHING-TARGET.finance</a></p>
... x 3,500 links ...

Доказ: Одна мережа, одна база даних

orbit-protocol-lending.net зустрічається на багатьох доменах PBN разом із послідовні ідентифікатори з однієї бази даних:

Одна база даних. 15 доменів інтерфейсу. На всіх екранах відображається однаковий вміст із одного серверного модуля.

Однакові ідентифікатори для різних «брендів» = один сервер, один оператор. 15 доменів. Один і той самий HTML-шаблон. Один і той самий CSS (style.css). Той самий JavaScript (work.js). Ті самі сторінки з 3 500 посиланнями.

Друга мережа PBN — Мережа перевірки доменів

Окрема, більш агресивна мережа посилань забезпечує зворотні посилання з атрибутом «dofollow» на обрані цілі. Головний сервер: all-aged-domains.com — інсталяція WordPress 6.6.2, яка забезпечує CSS, JS та шаблони для 50–80 доменів-сателітів.

Чому Bing на це ведеться

Броньований робот від Google блокує фішинг ще на вході. А привітний швейцар від Bing тримає двері відчиненими.

Уразливість «Title-Match»

app.thnuster.cc має рівно ОДИН зворотний посилання — кешовану сторінку результатів пошуку Yahoo. Він посідає 1-е місце в Bing за запитом «Thruster Finance». Це доводить, що ранжування Bing для брендових запитів з низькою конкуренцією базується переважно на:

1. Тег заголовка з точним збігом до пошукового запиту
2. Домен індексовано (достатньо будь-якого сигналу — навіть одного посилання з атрибутом nofollow)
3. Відсутність негативних сигналів щодо довіри (домен новий, без історії)

Google вимагатиме наявності вагомих ознак авторитетності та проводитиме перехресну перевірку з відомими доменами брендів. Bing цього не робить.

Результати пошуку Bing № 1 (перевірено за допомогою SerpAPI, квітень 2026 року)

Оновлений перелік засобів захисту (бренди, частина II)

Рекомендації (Частина II)

До Microsoft/Bing:

1. Сам по собі титульний поєдинок ще не означає авторитету. Відповідний заголовок не повинен виводити новий домен на перше місце в рейтингу за запитами, пов’язаними з брендом. Необхідно враховувати вік домену, авторитетність зворотних посилань або ознаки підтвердження бренду.
2. Виявлення маскування на основі CSS. Сторінки, на яких використовуються накладки з атрибутом z-index, що приховують вміст від користувачів, але відображають його для пошукових роботів, слід позначати.
3. Виявляти скоординовані мережі PBN. 15 доменів, що використовують один і той самий бекенд та посилаються на ті самі цільові сторінки, не є органічним побудовою посилань.
4. Позначати домени, зареєстровані через NiceNIC, у результатах пошуку за криптовалютами для більш ретельного аналізу.
5. Створити прискорений маршрут для спаму в DuckDuckGo. DDG успадковує всі вразливості Bing, але не має власного механізму повідомлення про спам.

Компанії «NiceNIC International Group Co., Limited»:

До Cloudflare:

Усі 26 доменів використовують DNS та проксі-сервери Cloudflare. Ці домени обслуговують програми, що викачують кошти з гаманців, та програми, що збирають посівні фрази, за допомогою інфраструктури Cloudflare.