Een langlopend Traffic Distribution System (TDS) dat bekendstaat als Help TDS, blijkt gekoppeld aan het Russischtalige affiliateprogramma Hotejka. Dat meldt beveiligingsbedrijf Infoblox in een rapport dat het deelde met The Hacker News. Hotejka lijkt op zijn beurt een rebranding van het verkeersmonetarisatienetwerk ROI777. Help TDS is naar schatting al actief sinds 2017 en levert PHP-sjablonen aan partners, die op gehackte websites worden geïnstalleerd om bezoekers door te sturen naar tech support-scams.
Hoe de scam werkt
Die scams maken gebruik van fullscreen-browsermanipulatie en technieken die voorkomen dat een slachtoffer het scherm kan sluiten, om nep-waarschuwingen van Microsoft Windows te tonen die aandringen op het bellen van een “Windows Support”-nummer. “Help TDS levert tech support-scams die gebruikers naar callcenters sturen, waar social engineering wordt ingezet om hen over te halen tools voor extern bureaublad te installeren,” aldus Infoblox. “Het is geen simpele creditcardfraude. Het gaat om extern toegangsmisbruik, operaties met living-off-the-land-malware. Wie eenmaal binnen is, kan het slachtoffer keer op keer opnieuw misbruiken.”
GoDaddy documenteerde de evolutie van Help TDS al in augustus 2025. Het bedrijf zag een kwaadaardige WordPress-plugin met de naam “woocommerce_inputs” op duizenden websites, die wachtwoorden van WordPress-gebruikers steelt en de kwaadaardige doorverwijzingen regelt door adressen op te halen bij command-and-control-servers. Affiliates van Hotejka plaatsen die plugin, of in plaats daarvan een los HTML-blok, op de gehackte sites. Help TDS geeft verkeer bovendien rechtstreeks door aan VexTrio Viper, een cybercrime-operator met een eigen affiliateprogramma voor scams, riskware, spyware, adware en pornografische content. De TDS zelf draait op Keitaro, een advertentietrackingplatform dat vaker door dreigingsactoren wordt misbruikt.
Spoor terug naar ROI777
De nieuwste bevindingen koppelen Hotejka aan ROI777, dat in juni 2018 werd blootgelegd door Guardicore Labs, tegenwoordig onderdeel van Akamai, in het kader van een verkeersmanipulatie- en cryptomining-campagne genaamd Operation Prowli. Daarbij werden kwetsbare servers gehackt om de malware r2r2 te installeren voor cryptomining, terwijl WordPress-sites en andere cms-systemen werden misbruikt voor verkeersfraude. “Site-operators verdienen geld per stuk doorgestuurd verkeer via ROI777,” schreef Guardicore Labs destijds. “De bestemmingsdomeinen draaien regelmatig verschillende scams, zoals nepdiensten en kwaadaardige browserextensies.”
De vermoedelijke rebranding volgde op een datalek van ROI777’s servers in maart 2018, rond de periode dat het bedrijf de voorloper van Help TDS draaide, een systeem genaamd Disposable TDS. GoDaddy vond bovendien dat het domein roi777[.]com tussen 2018 en 2020 als command-and-control-adres diende om doorverwijsdomeinen op te halen. “Historische DNS-gegevens en consistente command-and-control-mechanismen geven ons een hoge mate van vertrouwen dat ROI777 en Hotejka een en dezelfde partij zijn,” aldus Infoblox.
Sinds april 2026 draaien de scams op gratis Cloudflare Pages-sites onder het domein *.pages[.]dev. De aanvaller zet dagelijks zo’n driehonderd wegwerppagina’s op, en sindsdien zijn er al meer dan 20.000 van zulke domeinen ontdekt. In totaal leveren zo’n twintig affiliates verkeer aan Help TDS, waaronder de bekende WordPress-misbruikers Balada Injector, Detour Dog en DollyWay. Op het Telegram-kanaal van Hotejka adverteert de groep openlijk met gedwongen installatie van browserextensies en scampagina’s die “heel moeilijk te verlaten” zijn. Infoblox schat op basis van acht jaar aan DNS-gegevens dat de twee Europese affiliateplatforms Hotejka inmiddels minstens een paar miljoen dollar hebben uitbetaald.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
WordPress is ook in Nederland veruit het populairste CMS, en dat maakt een netwerk als Help TDS relevant voor lokale sitebeheerders. Controleer regelmatig op onbekende plugins zoals woocommerce_inputs of een los HTML-blok dat niemand bewust heeft toegevoegd, beveilig het WordPress-beheerpaneel met een sterk wachtwoord en tweefactorauthenticatie, en leer medewerkers dat een pop-up die beweert dat Windows is vergrendeld nooit vraagt om een supportnummer te bellen.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.