Известная с 2017 года система распределения трафика (TDS) Help TDS связана с русскоязычной партнерской программой Hotejka, которая, по всей видимости, является ребрендингом операции по монетизации трафика под названием ROI777. Help TDS предлагает партнерам и аффилиатам PHP-шаблоны кода, которые устанавливаются на взломанные веб-сайты с целью перенаправления ничего не подозревающих пользователей на мошеннические сайты технической поддержки. Эти мошеннические схемы используют полноэкранные манипуляции браузером и методы предотвращения выхода, чтобы отображать поддельные экраны оповещений безопасности Microsoft Windows, предписывающие жертвам связаться с номером службы поддержки Windows для решения проблемы.
«Help TDS предоставляет мошеннические схемы технической поддержки (TSS), которые направляют пользователей в колл-центры, где с помощью социальной инженерии их убеждают установить инструменты удаленного доступа», — говорится в отчете Infoblox, опубликованном The Hacker News. «Это не просто мошенничество с кредитными картами: это удаленный доступ, операции с использованием вредоносных программ, живущих своей жизнью. Однажды получив доступ, злоумышленник может эксплуатировать жертву снова и снова».
Эволюция Help TDS была задокументирована компанией GoDaddy в августе 2025 года. Тогда отмечалось использование злоумышленником вредоносного плагина WordPress под названием «woocommerce_inputs» на тысячах веб-сайтов для кражи учетных данных пользователей WordPress и облегчения вредоносных перенаправлений путем получения URL-адресов с серверов управления и контроля (C2). Плагин или, альтернативно, пользовательский HTML-блок внедряется на сайты аффилиатами Hotejka.
Исторический анализ цепочек вредоносных перенаправлений также выявил, что Help TDS регулярно передавала трафик напрямую VexTrio Viper, киберпреступному оператору, который управляет партнерской программой для обеспечения мошеннических схем, рискованного ПО, шпионского ПО, рекламного ПО и порнографического контента.
Последние выводы связывают TDS с Hotejka, которая, в свою очередь, предположительно является преемником ROI777 — организации, разоблаченной Guardicore Labs (ныне часть Akamai) в июне 2018 года в связи с кампанией по манипулированию трафиком и майнингу криптовалют под кодовым названием Operation Prowli. Эта деятельность включала компрометацию уязвимых серверов для развертывания вредоносного ПО под названием r2r2 и последующего использования их для майнинга криптовалют. Параллельно сайты WordPress и серверы, работающие под управлением других систем управления контентом (CMS), использовались для мошенничества с монетизацией трафика.
«Монетизаторы трафика, такие как ROI777, покупают трафик у «операторов веб-сайтов», таких как злоумышленники Prowli, и перенаправляют его на домены по запросу», — отметили тогда Guardicore Labs. ««Операторы веб-сайтов» зарабатывают деньги за трафик, отправленный через roi777. Целевые домены часто содержат различные мошеннические схемы, такие как поддельные услуги, вредоносные расширения браузера и многое другое».
Считается, что ребрендинг был вызван утечкой данных, полученных с серверов ROI777 в марте 2018 года, примерно в то время, когда действовала Disposable TDS, предшественница Help TDS. Опубликованные детали включали Telegram-идентификаторы пользователей и сведения о нескольких кампаниях. Связь между Hotejka и ROI777 на этом не заканчивается: GoDaddy также обнаружила, что «roi777[.]com» является одним из исторических C2-доменов, использовавшихся в период с 2018 по 2020 год для получения доменов перенаправления.
«Аффилиаты [Hotejka] варьируются от спам-операторов до компрометирующих веб-сайты», — заявили в Infoblox. «Потенциальные жертвы перенаправляются в TDS от этих аффилиатов через специальные URL-адреса, предоставляемые Hotejka. Затем TDS анализирует пользователя с помощью браузерного фингерпринтинга и геолокации, чтобы определить дальнейшие действия».
TDS функционирует как ретранслятор, перехватывая интернет-трафик с взломанных веб-сайтов, вредоносной рекламы, публикаций в социальных сетях или SEO-спама, анализируя посетителя, фильтруя трафик на основе предопределенных критериев (например, географическое положение, метаданные устройства, репутация IP-адреса и безголовые браузеры) и динамически направляя их на мошеннические схемы, блокировщики браузера или точки сброса вредоносного ПО.
«Help TDS и ее предшественники являются инфраструктурой принятия решений о маршрутизации для небольшой партнерской программы», — пояснили в Infoblox. «Другие злоумышленники, например те, кто скомпрометировал веб-сайты, направляют трафик потенциальных жертв в TDS через специально созданные URL-адреса».
Предполагается, что TDS реализована на Keitaro — платформе отслеживания эффективности рекламы, которая, как известно, используется различными злоумышленниками. Некоторые из первоначальных приманок Help TDS предлагают пользователям информацию о предстоящем обновлении Windows, за которым следует предупреждение о том, что компьютер отключен Microsoft, просьба не перезагружать его и уведомление о том, что установлен «блокировщик компьютера» для предотвращения незаконной деятельности.
Эта пугающая подсказка предназначена для того, чтобы убедить жертву связаться со службой технической поддержки Microsoft. Если жертва совершает звонок, злоумышленник на другом конце провода инструктирует ее загрузить и установить бесплатный инструмент удаленного доступа, такой как Ultraviewer, чтобы получить полный контроль над зараженной машиной.
Шаг фингерпринтинга определяет, следует ли направить пользователя либо на мошенническую схему технической поддержки, либо на другую партнерскую маркетинговую платформу, которая затем снова оценивает устройство и перепродает трафик. Эти пути ведут на мошеннические целевые страницы с поддельными проверками CAPTCHA для регистрации браузера жертвы для спама с push-уведомлениями.
«Исторические DNS-записи, лояльное использование других партнерских рекламных платформ на протяжении многих лет и последовательные механизмы управления и контроля (C2) дают нам высокую степень уверенности в том, что ROI777 и Hotejka — это одно и то же», — заявили в Infoblox.
Сообщения, опубликованные Hotejka в их Telegram-канале (@hotejka_hot), демонстрируют их преступные намерения, рекламируя принудительную установку расширений браузера и целевые страницы технической поддержки, «из которых очень трудно выйти». В одном посте от 17 июля оператор утверждал, что «небольшой колл-центр в Германии будет обрабатывать 50-100 звонков в день».
С апреля 2026 года мошеннические схемы работают на бесплатных сайтах Cloudflare Pages (*.pages[.]dev), при этом злоумышленник создает примерно 300 одноразовых страниц в день. С тех пор было обнаружено более 20 000 таких доменов. В последние годы Hotejka также была замечена в использовании различных псевдонимов на форумах, таких как CrackingX, в поисках трафика от спама по электронной почте и доступа к панелям администратора WordPress по ценам, начинающимся от 100 долларов.
В общей сложности около 20 различных аффилиатов, включая Balada Injector, Detour Dog и DollyWay, отправляют трафик в Help TDS. Эти операции известны тем, что активно нацеливаются на сайты WordPress для перенаправления жертв на мошеннические схемы и вредоносное ПО.
«Hotejka/ROI777 остаются верны двум партнерским платформам с 2017 года, и мы считаем, что эта лояльность щедро окупилась», — заявили в Infoblox. «Используя объемы DNS, наблюдаемые за последние 8 лет, нашу способность использовать партнерские идентификаторы для отслеживания трафика с течением времени и общепринятые цифры выплат за партнерскую рекламу в целом, мы подозреваем, что две европейские программы заплатили им как минимум несколько миллионов долларов (USD)».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
