Help TDS koristi Cloudflare Pages za prevare tehničke podrške
Infoblox je povezao sistem za distribuciju saobraćaja Help TDS sa ruskojezičnim partnerskim programom Hotejka, za koji postoje snažni indikatori da predstavlja nastavak operacije ROI777. Od aprila 2026. kampanje koriste besplatne Cloudflare Pages sajtove, uz približno 300 jednokratnih stranica dnevno i više od 20.000 otkrivenih domena na poddomenu pages.dev.
Preusmeravanje sa kompromitovanih sajtova
Help TDS je aktivan najmanje od 2017. godine. Partnerima daje PHP šablone koji se ubacuju u kompromitovane sajtove kako bi posetioce preusmerili na prevare tehničke podrške. Hotejkini partneri mogu da ubace zlonamerni WordPress dodatak woocommerce_inputs ili prilagođeni HTML blok.
GoDaddy je u avgustu 2025. dokumentovao da dodatak krade WordPress korisničke akreditive i sa komandno-kontrolnih servera preuzima odredišne URL adrese za preusmeravanje. Među istorijskim C2 domenima, korišćenim između 2018. i 2020. godine, nalazio se roi777.com, što dodatno povezuje Hotejku i ROI777.
Sistem prihvata saobraćaj od kompromitovanih sajtova, zlonamernih oglasa, objava na društvenim mrežama i SEO spama. Zatim procenjuje lokaciju, metapodatke uređaja, reputaciju IP adrese, otisak pregledača i prepoznaje automatizovane pregledače. Na osnovu tih kriterijuma posetilac može biti upućen na prevaru, zaključavanje pregledača ili isporuku malvera.
Kako izgleda prevara sa lažnom podrškom
Jedan tok kampanje prikazuje upozorenje o Windows ažuriranju, zatim lažnu poruku da je računar onemogućio Microsoft i da korisnik ne sme da ga ponovo pokreće. Tehnike prikaza preko celog ekrana i sprečavanja izlaska iz stranice služe da žrtvu navedu da pozove broj navodne Windows podrške.
U pozivnom centru operateri koriste socijalni inženjering kako bi žrtva instalirala besplatan alat za udaljenu radnu površinu, kao što je UltraViewer. Time napadač može dobiti potpunu kontrolu nad računarom. Drugi tokovi vode na odredišne stranice sa lažnim CAPTCHA proverama, čija je svrha prijava pregledača na spam obaveštenja.
Partnerska infrastruktura i poslovni rizik
Infoblox navodi da Help TDS funkcioniše kao infrastruktura za odluke o rutiranju unutar manjeg partnerskog programa, a procenjuje se da je zasnovan na platformi Keitaro za praćenje učinka oglašavanja. Oko 20 partnera, među kojima su Balada Injector, Detour Dog i DollyWay, šalje mu saobraćaj. Istorijski lanci preusmeravanja pokazali su i predaju saobraćaja operateru VexTrio Viper.
Za organizacije je praktičan zaključak da zaštita WordPress okruženja mora obuhvatiti kontrolu administratorskih naloga i dodataka, kao i praćenje neuobičajenih preusmerenja sa javnih stranica. Zaposlene treba upozoriti da Microsoft ne rešava navodnu blokadu računara pozivom na broj prikazan u iskačućem prozoru i da ne instaliraju alat za udaljeni pristup na zahtev neproverenog sagovornika.