SEO-Hijack: Phishing-Seiten auf Platz 1 bei Bing

Die beiden Angriffsvektoren

Unsere Untersuchung ergab, dass zwei völlig unterschiedliche, parallel ablaufende Vorgänge die gleichzeitig laufen, um Possibly phishing-Seiten an die Spitze der Bing- und DuckDuckGo-Suchergebnisse zu bringen.

Vektor A: Der Yahoo-SERP-Injection-Angriff

Das ist wohl das technisch am elegantesten Ein Black-Hat-SEO-Angriff, den wir im Jahr 2026 dokumentiert haben. Er nutzt eine grundlegende Schwachstelle in der Art und Weise aus, wie Bing die Link-Autorität bewertet – insbesondere die Unfähigkeit, zwischen echten redaktionellen Links und dynamisch generierten Suchergebnisseiten von vertrauenswürdigen Domains zu unterscheiden.

Der Mechanismus – Schritt für Schritt

Schritt 1 – Generieren der URL des vertrauenswürdigen Anbieters. Angreifer erstellen URLs auf den mobilen Such-Endpunkten von Yahoo über mehrere internationale Subdomains hinweg: [REDACTED] (Norwegen), [REDACTED] (Frankreich), [REDACTED] (Mexiko), [REDACTED] (Polen), [REDACTED] (Griechenland), [REDACTED] (Quebec), [REDACTED] (Schweizer Französisch), [REDACTED] (Kolumbien). Diese Seiten weisen den von Yahoo übernommenen Authority-Score von 23–24 auf.

Schritt 2 – Einbetten des Possibly phishing-Ankers. Jede URL enthält eine völlig zufällige, harmlose Suchanfrage – „pele+fifa“, „Jean-Paul+Sartre“, „Radio+Stars“, „jucheck.exe“ –, doch der Ankertext lautet: curvefi.co Curve Finance. Die zufällig angeordneten Abfragen stellen sicher, dass Spamfilter keine Muster erkennen können.

Schritt 3 – Erzwungene Crawling- und Indizierungsprozesse. Angreifer veranlassen Bingbot dazu, diese URLs zu crawlen, indem sie Massen-Ping-Dienste, das Einfügen von Kommentaren in Foren und Blogs sowie automatisierte Tools zum Auslösen von Crawls nutzen.

Unbearbeitete SEMrush-Daten — curvefi.co

Die brutale Ironie: Die Website bietet Null organische Suchbegriffe, Null Traffic in der SEMrush-Datenbank – dennoch erscheint die Seite aufgrund der von Yahoo übernommenen Autorität in den Bing-/DDG-Ergebnissen für „Curve Finance“.

Vektor B: Das koordinierte PBN-Netzwerk

An dieser Stelle wird die Untersuchung erst richtig beunruhigend. Fünf verschiedene Possibly phishing-Seiten — rabbys.at, dexscreener.at, monero-wallet.at, trezorsuite.at und [REDACTED] — haben alle eines gemeinsam: identische Gruppe von Backlink-Quellen. Das ist kein Zufall. Das ist eine einzige organisierte kriminelle Vereinigung die Durchführung mehrerer Possibly phishing-Kampagnen über eine einzige Infrastruktur.

Der entscheidende Beweis – Gemeinsame Infrastruktur

Possibly phishing-Domain-Profile

Die KI-gestützte Artikel-Fabrik

Die Variante „aster-dex.at“ verwendet ein hybrider Ansatz, wobei Yahoo-Injection mit KI-generierten Blog-Inhalten kombiniert wurde, die auf kompromittierten oder eigens dafür eingerichteten Websites in Vietnam, Italien, Indonesien und der Schweiz platziert wurden.

Die Blog-Artikel haben alle nahezu identische Titel: „Warum Token-Swaps und Liquiditätspools selbst erfahrene DEX-Händler immer noch vor Probleme stellen“, „Warum automatisierte Market Maker Händler immer noch überraschen“. Das sind Von KI generierte Artikel auf Websites mit den AS-Nummern 21–36 platziert, die alle auf aster-dex.at verweisen.

Eindringen von Kommentar-Spam

[REDACTED] verfolgt einen völlig anderen Ansatz – reinen Kommentar-Spam auf themenfremden Websites mit hoher Autorität. Falsche Benutzernamen wie „ZackaryThymn“, „Fritzkah“ und „Jamesboach“ schleusen Anker für Krypto-Wallets in Websites zur Philosophieausbildung ein (filozofija.edu.rs, AS 45), Plattformen zur Mitarbeiterbindung ([REDACTED], AS 63) sowie Kunstfestivals ([REDACTED], AS 50).

Der absolute Tiefpunkt: Automatisierter Tool-Spam

bscscan.cfd nutzt die primitivste Methode überhaupt: gekaufte Backlink-Pakete in großer Stückzahl von Websites, die buchstäblich so heißen wie [REDACTED] und [REDACTED]. Alle Quellen weisen AS = 0 auf. Die TLD „.cfd“ gilt als bekannter Spam-Indikator. Dennoch funktioniert dies bei Bing zumindest teilweise – die Anzahl minderwertiger Links kann die Platzierungen auf brandneuen Domains ohne negative Vorgeschichte beeinflussen.

Warum gerade Bing und DuckDuckGo besonders anfällig sind

Strategie zur Keyword-Ausrichtung

Die Keyword-Profile zeigen chirurgische Präzision bei der Zielauswahl. Die Betreiber zielen nicht nur auf primäre Markenbegriffe ab, sondern auch auf Typosquats („Rabbi-Geldbörse“, „Rubby-Geldbörse“, „dexscrenner“) und sogar Suchanfragen auf Chinesisch („Aster-Börse“ Platz 25).

Historischer Kontext: Das Problem mit [REDACTED] und DuckDuckGo

Auch nachdem [REDACTED] DDG als Standardbrowser abgelöst hat, besteht die zugrunde liegende Sicherheitslücke weiterhin. Jeder Nutzer, der wählt aus Datenschutzgründen bewusst DuckDuckGo aus — eine Bevölkerungsgruppe, die sich stark mit der Gruppe der Krypto-Nutzer überschneidet — ist auch heute noch genau diesen Angriffen ausgesetzt. Die in diesem Bericht dokumentierten Betrugsmaschen nutzen seit langem Varianten dieser Technik für mehrere Jahre, wobei sie sich anpasst, während Suchmaschinen einzelne Vektoren nach und nach beheben.

So schützen Sie sich

• NIEMALS Verbinden Sie Ihre Wallet über ein Suchergebnis
• Lesezeichen direkt auf seriöse Websites
• Verwenden Sie DDG’s !bang Tastenkombination: !g curve finance zwingt die Google-Suche
• Installieren Sie die Erweiterung zur Possibly phishing-Erkennung von [REDACTED]
• Überprüfen Sie jede beliebige Domain unter THE ENABLERS REGISTRY vor dem Anschließen

Empfehlungen an Microsoft/Bing

1. Erkennung dynamischer Seiten: Suchergebnisseiten klassifizieren (Yahoo, Baidu, Google) und den Link-Wert aus ausgehenden Links entfernen
2. Koordinierte PBN-Erkennung: Wenn 9 Domains auf 5 verschiedene Websites mit identischen Mustern verweisen, als Manipulation kennzeichnen
3. Ebene „Markenimitation“: TLD-Substitutionsangriffe erkennen (dexscreener.at ≈ [REDACTED])
4. .AT-Domain-Überwachung: Verstärkte Überprüfung neu registrierter .at-Domains in Krypto-SERPs
5. DuckDuckGo im Schnelldurchlauf: Eine spezielle API zur Spam-Entfernung erstellen, auf die DDG direkt zugreifen kann

Ein Betreiber, 26 Domains, ein Registrar

Wir haben RDAP-Abfragen für alle 26 Possibly phishing-Domains durchgeführt. Bei jeder einzelnen wurde derselbe Registrar angezeigt: [REDACTED]. Nicht die meisten. Nicht die Mehrheit. Alle 23 von 23 wurden erfolgreich abgefragt — derselbe Registrar, mit 3 Rate-Limit-Fehlern vor der Verifizierung (die Infrastrukturmuster stimmen überein).

RDAP-Registrierungsdaten – Nachweis der Sammelregistrierung

Das 2-Dollar-Playbook – Schritt für Schritt

Vergessen Sie ausgefeilte SEO-Maßnahmen. Vergessen Sie monatelanges Linkbuilding. Hier ist die vollständige, bewährte Vorgehensweise, mit der Sie auf Platz 1 bei Bing landen.

Schritt 1: Typosquat-Register

Schritt 2: Das Titel-Tag klonen (0 $, 5 Minuten)

Der Betreiber kopiert genau das <title> Tag und Meta-Beschreibung von der Website des eigentlichen Projekts. Das ist der mit Abstand wichtigste Schritt. Die Seite selbst ist ein „Wallet-Drainer“ oder ein „Seed-Phrase-Harvester“ – aber <title> ist das, was Bing in den Suchergebnissen anzeigt.

Schritt 3: Bei dem Cloaked-PBN einreichen (0 $, 1 Minute)

Der Betreiber besucht einen der 15 PBN-Standorte (bye.fyi, atomizelink.icu, usw.), gibt die Domain in das Feld „Geben Sie Ihre URL ein“ ein und klickt auf „Kürzen“. Mit einem einzigen Klick wird gleichzeitig eine Seite auf allen 15 Websites erstellt – diese nutzen eine gemeinsame Datenbank.

Schritt 4: Warten (2–8 Wochen, 0 $)

Aufschlüsselung der Gesamtkosten

Ein Blick in die Cloaking-Engine

Wir haben den tatsächlichen HTML-Quellcode aus dem PBN-Netzwerk abgerufen und analysiert. Auf jeder Seite jeder Domain kommt dieselbe Cloaking-Engine zum Einsatz.

Seitenarchitektur: 400 KB HTML, über 3.500 Links, 4 Ebenen

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://POSSIBLY [REDACTED]">POSSIBLY [REDACTED]</a></p>
... x 3,500 links ...

Beweis: Ein Netzwerk, eine Datenbank

[REDACTED] taucht auf mehreren PBN-Domains auf mit fortlaufende IDs aus derselben Datenbank:

Gleiche IDs über verschiedene „Marken“ hinweg = ein Backend, ein Betreiber. 15 Domains. Gleiche HTML-Vorlage. Gleiches CSS (style.css). Dasselbe JavaScript (work.js). Dieselben Seiten mit 3.500 Links.

Das zweite PBN – Domain-Checker-Netzwerk

Ein separates, aggressiveres Linknetzwerk liefert Dofollow-Backlinks zu ausgewählten Zielen. Hauptserver: [REDACTED] — eine WordPress-6.6.2-Installation, die CSS-, JS- und Vorlagen an 50 bis 80 Satellitendomains bereitstellt.

Warum Bing darauf hereinfällt

Die Schwachstelle beim Titelkampf

[REDACTED] hat genau EINEN Backlink – eine zwischengespeicherte Yahoo-SERP-Seite. Bei Bing belegt die Seite Platz 1 für den Suchbegriff „Thruster Finance“. Dies belegt, dass das Ranking von Bing bei Markenanfragen mit geringem Wettbewerb in erster Linie auf folgenden Faktoren beruht:

1. Titel-Tag mit exakter Übereinstimmung zur Suchanfrage
2. Die Domain ist indexiert (jedes Signal – selbst ein einziger Nofollow-Link – reicht aus)
3. Keine negativen Vertrauenssignale (Die Domain ist neu und weist keine Einträge in der Historie auf.)

Google würde umfangreiche Autoritätssignale verlangen und einen Abgleich mit bekannten Markendomains vornehmen. Bing tut dies nicht.

Bing-Ergebnisse auf Platz 1 (überprüft mit SerpAPI, April 2026)

Aktualisierte Schutzliste (Marken aus Teil II)

Empfehlungen (Teil II)

An Microsoft/Bing:

1. Ein Titelkampf allein ist noch kein Maßstab für Autorität. Ein passender Titel sollte eine neue Domain bei Suchanfragen nach Markennamen nicht auf Platz 1 bringen. Es sollten Kriterien wie das Alter der Domain, die Backlink-Autorität oder Signale zur Markenverifizierung herangezogen werden.
2. CSS-basiertes Cloaking erkennen. Seiten, die „z-index“-Overlays verwenden, um Inhalte vor Nutzern zu verbergen, sie aber für Crawler sichtbar zu machen, sollten gekennzeichnet werden.
3. Koordinierte PBN-Netzwerke aufspüren. 15 Domains, die sich ein Backend teilen und auf dieselben Ziele verweisen, stellen keinen organischen Linkaufbau dar.
4. Domains, die bei IANA #3765 registriert sind, in Krypto-SERPs kennzeichnen zur eingehenderen Prüfung.
5. Richte einen Schnellweg für DuckDuckGo-Spam ein. DDG übernimmt alle Sicherheitslücken von Bing, verfügt jedoch über keinen eigenen Mechanismus zur Meldung von Spam.

[REDACTED]:

An IANA #1910:

Alle 26 Domains nutzen IANA #1910-DNS und -Proxy. Die Domains dienen als Plattform für Wallet-Drainer und Seed-Phrase-Harvester hinter der Infrastruktur von IANA #1910.