Help TDS leitet WordPress-Besucher zu tech support scams weiter
Über Help TDS verbreitete tech support scams haben kompromittierte WordPress-Websites und mehr als 20.000 Cloudflare Pages-Domains genutzt, um potenzielle Opfer zu erreichen. Infoblox bringt das seit Langem aktive Traffic Distribution System (TDS), eine Infrastruktur, die Besucher sortiert und an ausgewählte Ziele weiterleitet, mit dem russischsprachigen Partnerprogramm Hotejka in Verbindung. Es wird vermutet, dass Hotejka eine umbenannte Version des früheren Betriebs ROI777 zur Monetarisierung von Traffic ist. Help TDS soll mindestens seit 2017 aktiv sein.
Laut Infoblox erhalten Partner spezielle URLs und PHP-Codevorlagen, also Bestandteile serverseitigen Website-Codes, die auf kompromittierten Websites platziert werden können. Das TDS untersucht jeden Besucher mithilfe von browser fingerprinting und Standortdaten und entscheidet anschließend, wohin diese Person weitergeleitet wird. Seine Filter können den geografischen Standort, Gerätedetails, die Reputation der IP-Adresse und die Frage berücksichtigen, ob der Besuch von einem headless browser stammt, also einem automatisierten Browser ohne gewöhnliches sichtbares Fenster. Der Traffic kann von kompromittierten Websites, schädlicher Werbung, Beiträgen in sozialen Medien oder Spam für search engine optimization (SEO) stammen, der Suchergebnisse manipulieren soll. Es wird angenommen, dass Help TDS auf Keitaro läuft, einer Plattform zur Messung der Werbeleistung, die auch von Bedrohungsakteuren missbraucht wurde.
Besuchern, die für tech support scams ausgewählt werden, kann eine schwer zu schließende Vollbildseite angezeigt werden. Die Seite kann zunächst behaupten, dass ein Windows-Update unmittelbar bevorstehe, und anschließend erklären, Microsoft habe den Computer deaktiviert. Andere Meldungen fordern den Benutzer auf, keinen Neustart durchzuführen, behaupten, es habe illegale Aktivitäten gegeben, und geben vor, dass eine Computersperre verhängt worden sei. Ziel ist es, das Opfer dazu zu bringen, eine angebliche Microsoft-Supportnummer anzurufen. Kommt der Anruf zustande, versucht die Person am anderen Ende, das Opfer zur Installation einer kostenlosen remote desktop application wie Ultraviewer zu bewegen, mit der eine andere Person den Computer aus der Ferne steuern kann. Infoblox warnt, dass dieser Zugriff eine wiederholte Ausbeutung ermöglichen kann und nicht nur einen einmaligen Diebstahl von Zahlungskartendaten.
Nicht jeder Besucher wird zwangsläufig zu der Telefonbetrugsmasche weitergeleitet. Infoblox stellte fest, dass Help TDS den Traffic stattdessen an eine andere Affiliate-Marketing-Plattform übergeben kann, wo das Gerät erneut bewertet und der Besuch weiterverkauft wird. Einige dieser Routen enden auf Betrugsseiten mit gefälschten CAPTCHA-Prüfungen, die Tests nachahmen, mit denen Menschen von automatisierten Programmen unterschieden werden sollen. Die Seiten versuchen, Benutzer dazu zu bringen, Browser-Benachrichtigungen zuzulassen, wodurch anschließend Spam über Push-Benachrichtigungen versendet werden kann.
Kompromittierte WordPress-Websites sind ein wichtiger Bestandteil der Verbreitungskette. Im August 2025 dokumentierte GoDaddy auf Tausenden von Websites ein schädliches WordPress-Plugin namens woocommerce_inputs. Es sollte WordPress-Zugangsdaten stehlen und Adressen für Weiterleitungen von Servern für command-and-control (C2) abrufen, also von Systemen, über die schädlicher Code Anweisungen oder Zieladressen erhält. GoDaddy berichtete, dass Hotejka-Partner entweder das Plugin oder einen benutzerdefinierten HTML-Block in betroffene Websites einfügten. In den vergangenen Jahren trat Hotejka außerdem unter verschiedenen Namen auf CrackingX auf und suchte dort nach Traffic aus E-Mail-Spam sowie nach Zugriff auf WordPress-Administratorkonten zu Preisen ab $100.
Infoblox identifizierte etwa 20 Partner, die Besucher an Help TDS weiterleiteten, darunter Balada Injector, Detour Dog und DollyWay. Diese Operationen sind dafür bekannt, WordPress-Websites intensiv anzugreifen, um Besucher zu Betrugsseiten und malware weiterzuleiten. Historische Weiterleitungsketten zeigen zudem, dass Help TDS Traffic direkt an VexTrio Viper übergab, eine partnerbasierte Cybercrime-Operation, die mit Betrugsmaschen, unerwünschter Software, spyware, Werbesoftware und pornografischen Inhalten in Verbindung steht.
Die vermutete Entwicklungslinie reicht bis zu ROI777 und Operation Prowli zurück, einer Kampagne, die Guardicore Labs im Juni 2018 öffentlich machte. Bei diesen Aktivitäten wurden anfällige Server kompromittiert, malware namens r2r2 installiert und die Systeme zum Mining von Kryptowährungen genutzt. WordPress-Installationen und Server mit anderen content management systems (CMS), also Software zum Erstellen und Betreiben von Websites, wurden ebenfalls zur Monetarisierung von Traffic ausgenutzt. Bei diesem Modell lieferten Website-Betreiber Besucher an ROI777 und erhielten eine Vergütung für den Traffic, während die Zielseiten Betrugsmaschen, gefälschte Dienste und schädliche Browser-Erweiterungen anboten.
Ein Datenleck im März 2018, bei dem Informationen von ROI777-Servern entwendet worden waren, legte Telegram-Identitäten und Einzelheiten zu Kampagnen offen. Es wird angenommen, dass die Veröffentlichung zu einer Umbenennung beitrug, die ungefähr in den Zeitraum fiel, in dem Disposable TDS als Vorläufer von Help TDS aktiv war. GoDaddy stellte außerdem fest, dass roi777[.]com zwischen 2018 und 2020 als historische C2-Domain diente. Laut Infoblox begründen historische records im Domain Name System (DNS), die wiederholte Nutzung derselben Affiliate-Werbeplattformen und einheitliche C2-Methoden eine hohe Sicherheit für die Einschätzung, dass ROI777 und Hotejka dieselbe Operation sind.
Seit April 2026 nutzen die Betrugsmaschen kostenlose Cloudflare Pages-Websites unter der Domain pages[.]dev. Dabei werden täglich etwa 300 kurzlebige Seiten erstellt; insgesamt wurden mehr als 20.000 erkannt. In einem Telegram-Beitrag vom 17. Juli 2026 behauptete Hotejka, dass ein kleines Callcenter in Deutschland täglich 50 bis 100 Anrufe bearbeiten werde. Andere Beiträge warben für die erzwungene Installation von Browser-Erweiterungen und für Supportseiten, die Versuche erschweren sollten, die Seite zu verlassen. Auf Grundlage der über acht Jahre beobachteten DNS-Datenmengen, Partnerkennungen und üblicherweise gemeldeten Werbevergütungen vermutet Infoblox, dass zwei europäische Partnerprogramme der Operation mindestens einige Millionen US-Dollar zahlten. Bei dieser Zahl handelt es sich jedoch um eine Schätzung und nicht um eine bestätigte Gesamtsumme.
Für Website-Betreiber zeigen die Erkenntnisse, wie gestohlener Administratorzugriff oder eingeschleuster WordPress-Code eine ansonsten legitime Website zum ersten Schritt einer Betrugsmasche machen können, ohne dass die endgültige Seite auf dieser Website gehostet wird. Betreiber sollten unbekannte Plugins, Administratorkonten, HTML-Blöcke und unerklärliche Weiterleitungen als mögliche Anzeichen einer Kompromittierung behandeln. Für alle, die einen gemanagten Betrieb erwägen, bietet AEU Hosting vollständig abgesichertes Managed WordPress Hosting an. Besucher, die auf eine Sicherheitswarnung im Vollbildmodus stoßen, sollten weder die angezeigte Nummer anrufen noch auf Aufforderung des Anrufers Software zur Fernsteuerung installieren.