Die Lockseiten imitieren technische Support- und Aktivierungsportale von Streaming-Diensten oder versprechen Downloads für Antivirenprogramme, Spielesoftware und Steuerwerkzeuge; auch die Freischaltung von Kredit-, Gesundheits- und Geschenkkarten wird angeboten. Ein Beispiel kapert die Suche nach „bitdefender central how to login" und liefert einen betrügerischen Link, der auf readthedocs[.]io liegt. Ein auffälliger Knopf „Get Started" startet die Infektionskette und schickt den Besucher über mehrere Umleitungsdomains, die zunächst seinen Browser erfassen.
Zum Reichweitenaufbau setzt BengalSEO laut DFIR Report auf Backlinks, DOM-Injektion, DOM-Shuffling und Keyword-Stuffing. Foren und Kommentarbereiche werden massenhaft mit Links geflutet — etwa auf „viziocomsetupentercode.github[.]io", wo Leser aufgefordert werden, ihren Smart-TV „einfach" nach „simplen Anweisungen auf dem Bildschirm" einzurichten. Allein diese Vizio-Lockseite verzeichnet 2.000 Backlinks von 167 verschiedenen externen Domains. Beim DOM-Shuffling ordnet eingebettetes JavaScript die HTML-Elemente dynamisch neu, sodass identische Anleitungen auf hunderten Domains für Crawler jeweils einzigartig wirken und Spamfilter passieren.
Das Traffic-Verteilsystem (TDS) arbeitet als Schleuse: Umleitungsdomains zeigen eine Cloudflare-Turnstile- oder hCaptcha-Prüfung, um Scanner, Crawler und Bots auszusieben. Zur Profilbildung ist auf Lock- und Landeseiten ein Skript des legitimen, datenschutzorientierten Analysedienstes Matomo eingebettet, das Browserdaten an die Domain „stats.us3[.]org" sendet. Eine Suche nach dieser Domain auf urlscan.io ergibt derzeit 1.112 Treffer, nach 1.190 zum Zeitpunkt der Analyse. Auf Plattformen wie github.io und pages.dev kommt stattdessen meist der Google Tag Manager zum Einsatz.
Am Ende der Umleitungskette steht eine Seite mit Downloadlink und Bedienungsanleitung. Ein Klick auf „Download for Windows" liefert ein ZIP-Archiv; nach 40 Sekunden wird der Nutzer auf die echte Herstellerseite weitergeleitet. Im Archiv steckt ein JavaScript-Dropper, der sich als ausführbare Datei des gewünschten Programms ausgibt und über „wscript.exe" die MayaBot-Infektion startet. Die Eigenentwicklung, seit 2022 im Einsatz, übernimmt Command-and-Control, Systemüberwachung und installiert den Kryptowährungs-Miner XMRig. In anderen Fällen folgt kein Schadcode, sondern eine Kontaktseite, die zum Anruf bei einer Betrugsnummer auffordert — angeblich wegen verdächtiger Aktivität im Bitdefender-Central-Konto.
Gehostet wird bevorzugt auf vertrauenswürdigen Plattformen wie github.io, pages.dev, sites.google.com und readthedocs.io. Zwischen Januar 2024 und März 2026 identifizierte der DFIR Report 84 aktive GitHub-Konten der Gruppe, deren Commit-Historie E-Mail-Adressen aus Garage2Global-Domains („wc[.]ci") offenlegt. Über Commits werden Umleitungsdomains rotiert oder zeitweise durch legitime URLs ersetzt, um Erkennung zu entgehen. Der Großteil der Infrastruktur wurde ab August 2025 registriert, überwiegend unter den Endungen .my, .shop und .info. Als Registrare dominierten zwischen 2023 und 2026 Spaceship (47,6 %) und Namecheap (28,6 %), beim Hosting Cloudflare als Proxy (81,1 %) und Hostmaza als Ursprungs-Host (10,0 %). Ein Konto für Umleitungsdomains („wapp[.]live") wurde von Hostmaza gesperrt.
Parallel berichtet Check Point Research von einer seit Mitte 2025 laufenden Kampagne gegen brasilianische Regierungs- und Bildungseinrichtungen, zugeschrieben dem chinesischsprachigen Cluster Gambling Goblin mit Verbindungen zu Earth Berberoka (auch GamblingPuppet). Bösartige Apache-Module leiten Besucher per Reverse Proxy auf Phishing-Seiten, während der Verkehr weiter von der legitimen Domain zu stammen scheint; die Content-Security-Policy-Header werden entfernt. Ein Linux-Werkzeugkasten umfasst den Go-Downloader DownPro, die Backdoors AlphaAgent, ChUser und oRAT, einen auf 3snake basierenden Passwortstehler, einen SSH-Bruteforcer und einen Plugin-gesteuerten Aufklärungsagenten; der Erstzugang ist unbekannt. Die Phishing-Seiten imitieren Google Play, Microsoft Store und Amazon und bewerben Online-Glücksspiel. Die Gruppe betreibe „lokalisierte Phishing-Netzwerke auf Portugiesisch, Vietnamesisch, Spanisch und Englisch" und erzeuge täglich neue Domains, so Check Point: kein regionales Experiment, sondern ein auf globale Skalierung ausgelegtes Modell.