Исследователи Infoblox связали систему распределения трафика Help TDS с русскоязычной партнёрской программой Hotejka, которую считают вероятным преемником платформы монетизации трафика ROI777. Исследователи выявили более 20 тыс. доменов Cloudflare Pages, связанных с этой деятельностью и использовавшихся для размещения мошеннических страниц. Данных о целевых атаках на российские организации или об их числе в исследовании нет. Для владельцев публичных сайтов практический риск связан с компрометацией CMS, в первую очередь WordPress, и перенаправлением посетителей на страницы лжеподдержки. Для любых организаций риск также возникает при переходе сотрудников на отфильтрованные мошеннические страницы, где пользователя могут убедить установить средство удалённого доступа.
Как работает Help TDS
Help TDS действует как минимум с 2017 года. Партнёрам программы предоставляются PHP-шаблоны: их размещают на взломанных сайтах и используют для перенаправления посетителей на мошеннические ресурсы, имитирующие техническую поддержку. Таким образом, скомпрометированный сайт становится точкой входа в цепочку, а не обязательно местом размещения конечной мошеннической страницы.
Трафик в систему поступает не только со скомпрометированных сайтов. Infoblox указывает на вредоносную рекламу, публикации в социальных сетях и SEO-спам как на другие источники переходов. После перехода по специальному URL, выданному Hotejka, TDS оценивает посетителя. Для этого применяются браузерный отпечаток, геолокация, сведения об устройстве, репутация IP-адреса и выявление браузеров без графического интерфейса. По совокупности признаков система выбирает дальнейший маршрут.
По оценке Infoblox, Help TDS и её предшественники служат инфраструктурой принятия решений для небольшой партнёрской программы. Взломщики сайтов и другие участники направляют потенциальных жертв в TDS через специально сформированные ссылки, а та динамически отправляет отобранный трафик на страницы лжеподдержки, сайты с блокировкой браузера либо ресурсы, распространяющие вредоносное ПО.
Исследователи предполагают, что Help TDS построена на Keitaro — платформе отслеживания эффективности рекламы, которую ранее фиксировали в злоупотреблениях со стороны разных злоумышленников. Это предположение не означает, что сама платформа предназначена для таких операций: в исследовании речь идёт о вероятной основе конкретной инфраструктуры Help TDS.
От фальшивого предупреждения к удалённому доступу
Ранние приманки Help TDS сообщали пользователю о якобы предстоящем обновлении Windows, а затем показывали предупреждение, что компьютер заблокирован Microsoft. Жертве предлагали не перезагружать устройство. Страница утверждала, что «блокировка компьютера» введена для предотвращения незаконной деятельности, и рекомендовала позвонить по указанному номеру службы поддержки Windows.
Такие страницы используют полноэкранный режим браузера и механизмы, затрудняющие выход из него. Если пользователь звонит по указанному номеру, оператор колл-центра с помощью социальной инженерии убеждает его скачать и установить бесплатное средство удалённого доступа — например, UltraViewer. После этого злоумышленник может получить полный контроль над компьютером.
Infoblox отдельно подчёркивает, что схема не сводится к хищению данных банковских карт. Доступ к устройству позволяет повторно эксплуатировать жертву, а операции могут использовать вредоносное ПО, получающее ресурсы из этой же экосистемы. То есть первоначальный звонок в лжеподдержку в описываемой модели может стать началом дальнейшей монетизации доступа.
Связь с ROI777 и история инфраструктуры
По данным Infoblox, Hotejka, вероятно, является преемником ROI777. Последнюю Guardicore Labs, ныне входящая в Akamai, раскрыла в июне 2018 года в связи с Operation Prowli — кампанией по манипулированию трафиком и майнингу криптовалюты.
В рамках этой активности уязвимые серверы взламывали для установки вредоносной программы r2r2 и последующего майнинга криптовалюты. Одновременно сайты WordPress и серверы с другими CMS использовали для мошеннической монетизации трафика. По описанию Guardicore Labs, такие сервисы, как ROI777, покупали трафик у «операторов сайтов», включая участников Prowli, и перенаправляли его на домены по запросу.
При выборе SIEM-платформы для централизованной корреляции журналов можно отдельно изучить Security Capsule SIEM и сопоставить её с требованиями своей инфраструктуры.
Операторы получали выплату за направленный через платформу трафик. На конечных ресурсах при этом размещались мошеннические сервисы, вредоносные расширения браузера и другие нежелательные материалы. Таким образом, использование скомпрометированных CMS в этой модели сочеталось с партнёрской схемой выплат за привлечение посетителей.
Исследователи считают, что смена бренда могла быть связана с утечкой данных с серверов ROI777 в марте 2018 года. Тогда проект управлял Disposable TDS — предшественником Help TDS. В опубликованных данных фигурировали идентификаторы пользователей Telegram и сведения о нескольких кампаниях.
Дополнительную связь между Hotejka и ROI777 ранее обнаружила GoDaddy. Домен roi777[.]com использовался в 2018–2020 годах как один из исторических C2-адресов, с которых получали домены для перенаправления. Infoblox основывает версию о преемственности Hotejka и ROI777 на исторических DNS-записях, использовании партнёрских рекламных платформ и последовательности механизмов C2. Это оценка исследователей, а не установленный судебный факт.
Компрометация WordPress и партнёрская сеть
Развитие Help TDS описывалось и в исследовании GoDaddy в августе 2025 года. Тогда злоумышленники применяли вредоносный плагин WordPress woocommerce_inputs на тысячах сайтов: он похищал учётные данные WordPress и организовывал вредоносные редиректы, получая URL с C2-серверов. По данным исследователей, партнёры Hotejka внедряют на сайты этот плагин либо пользовательский HTML-блок.
История цепочек перенаправления также показала, что Help TDS регулярно передавала трафик напрямую VexTrio Viper. Этот оператор киберпреступной инфраструктуры управляет партнёрской программой для распространения мошеннических схем, рискового ПО, шпионского и рекламного ПО, а также порнографического контента.
По данным Infoblox, среди партнёров Hotejka есть как спамеры, так и взломщики веб-сайтов. В описанном Infoblox сценарии скомпрометированные, преимущественно WordPress-сайты используются для перенаправления посетителей на мошеннические ресурсы и распространения вредоносного ПО.
Cloudflare Pages и признаки деятельности операторов
Исследователи зафиксировали более 20 тыс. доменов Cloudflare Pages в зоне *.pages[.]dev, связанных с этой деятельностью и использовавшихся для размещения мошеннических страниц. Массовое использование одноразовых доменов усложняет блокирование только по отдельным адресам: инфраструктура может быстро меняться.
Публикации Hotejka в Telegram-канале @hotejka_hot, по оценке Infoblox, показывают намерение операторов использовать принудительную установку расширений браузера и страницы «технической поддержки», с которых сложно выйти. Содержание таких публикаций следует рассматривать как заявления операторов, а не как подтверждение масштаба их фактической деятельности.
Что проверить администраторам
Для владельцев публичных CMS риск в описанной Infoblox и GoDaddy цепочке связан с использованием скомпрометированных сайтов для перенаправления посетителей. Для организаций без таких сайтов остаётся риск перехода сотрудников на мошеннические страницы через вредоносную рекламу, социальные сети или SEO-спам с последующей попыткой установить средство удалённого доступа. Поскольку GoDaddy описывала применение woocommerce_inputs и пользовательских HTML-блоков в этой цепочке, при проверке WordPress-инсталляций следует искать несанкционированные плагины, включая woocommerce_inputs, и пользовательские HTML-блоки, если они созданы неизвестным автором, появились в период предполагаемой компрометации, содержат внешние редиректы или обфусцированный JavaScript/PHP либо совпадают с подтверждёнными индикаторами. Отдельно стоит анализировать несанкционированные цепочки внешних редиректов, внедрённый PHP- или HTML-код, аномальные изменения WordPress и изменения в учётных записях администраторов. Обращения к неизвестным внешним адресам или C2 следует считать поводом для расследования в сочетании с такими признаками либо с подтверждёнными индикаторами, а не самостоятельным сигналом компрометации.
На пользовательских устройствах имеет смысл расследовать установку средств удалённого доступа, если она происходит без согласованной заявки или вне allowlist, была загружена из браузера после перехода по известному мошенническому URL либо сопровождается последующим внешним удалённым подключением. Само по себе использование UltraViewer или другого легитимного инструмента удалённой поддержки не указывает на инцидент. Переходы на страницы, имитирующие предупреждения Windows или Microsoft, также требуют проверки контекста: например, наличия несанкционированного редиректа или попытки загрузить ПО. Пользователям следует напомнить, что браузерная страница не является основанием звонить по предложенному номеру или устанавливать ПО удалённого доступа.
Ключевой вывод из исследования состоит в том, что Help TDS представляет собой не единичную страницу обмана, а многолетнюю партнёрскую инфраструктуру, связывающую взлом сайтов, фильтрацию трафика, колл-центры и последующую монетизацию доступа к устройствам. При этом в материалах Infoblox нет сведений о целевых атаках на российские организации. Защита публичных CMS, контроль несанкционированных перенаправлений и снижение риска переходов сотрудников на мошеннические страницы остаются основными точками противодействия описанной схеме.