Help TDS reindirizza i visitatori di WordPress verso tech support scams
Le tech support scams diffuse tramite Help TDS hanno utilizzato siti WordPress compromessi e più di 20.000 domini Cloudflare Pages per raggiungere potenziali vittime. Infoblox collega il Traffic Distribution System (TDS), un'infrastruttura attiva da tempo che classifica i visitatori e li indirizza verso destinazioni selezionate, al programma di affiliazione russofono Hotejka. Si sospetta che Hotejka sia una versione rinominata della precedente operazione di monetizzazione del traffico ROI777. Si ritiene che Help TDS sia operativo almeno dal 2017.
Secondo Infoblox, gli affiliati ricevono URL speciali e template di codice PHP, ossia parti di codice eseguite lato server, che possono essere inseriti nei siti compromessi. Il TDS esamina ogni visitatore tramite browser fingerprinting e dati sulla posizione, quindi decide dove indirizzare quella persona. I suoi filtri possono prendere in considerazione la posizione geografica, i dettagli del dispositivo, la reputazione dell'indirizzo IP e l'eventuale provenienza della visita da un headless browser, cioè un browser automatizzato privo di una normale finestra visibile. Il traffico può provenire da siti compromessi, annunci malevoli, post sui social media o spam di search engine optimization (SEO) progettato per manipolare i risultati di ricerca. Si ritiene che Help TDS funzioni su Keitaro, una piattaforma per il monitoraggio delle prestazioni pubblicitarie che è stata utilizzata in modo improprio anche dai threat actor.
Ai visitatori selezionati per le tech support scams può essere mostrata una pagina a schermo intero difficile da chiudere. La pagina può inizialmente affermare che un aggiornamento di Windows è imminente e poi dichiarare che Microsoft ha disabilitato il computer. Altri messaggi intimano all'utente di non riavviare il dispositivo, denunciano presunte attività illegali e sostengono che sia stata imposta una restrizione al computer. L'obiettivo è indurre la vittima a telefonare a un presunto numero dell'assistenza Microsoft. Se viene effettuata la chiamata, chi risponde cerca di convincere la vittima a installare una remote desktop application gratuita, come Ultraviewer, che permette a un'altra persona di controllare il computer da remoto. Infoblox avverte che questo accesso può consentire abusi ripetuti, anziché un singolo furto ai danni di una carta di pagamento.
Non tutti i visitatori vengono necessariamente indirizzati alla truffa telefonica. Infoblox ha scoperto che Help TDS può invece trasferire il traffico a un'altra piattaforma di affiliate marketing, dove il dispositivo viene nuovamente valutato e la visita viene rivenduta. Alcuni di questi percorsi terminano su pagine fraudolente che presentano falsi controlli CAPTCHA, imitando i test utilizzati per distinguere le persone dai programmi automatizzati. Le pagine cercano di convincere gli utenti ad autorizzare le notifiche del browser, rendendo così possibile il successivo invio di spam tramite notifiche push.
I siti WordPress compromessi costituiscono una parte importante della catena di distribuzione. Nell'agosto 2025, GoDaddy ha documentato su migliaia di siti un plugin WordPress malevolo chiamato woocommerce_inputs. Era progettato per rubare le credenziali degli utenti WordPress e recuperare indirizzi di reindirizzamento dai server command-and-control (C2), sistemi utilizzati per fornire istruzioni o destinazioni al codice malevolo. GoDaddy ha riferito che gli affiliati di Hotejka inserivano nei siti interessati il plugin oppure un blocco HTML personalizzato. Negli ultimi anni, Hotejka è apparso anche con nomi diversi su CrackingX, dove cercava traffico proveniente da email spam e accesso ad account amministratore WordPress, con prezzi a partire da 100 dollari.
Infoblox ha identificato circa 20 affiliati che inviavano visitatori a Help TDS, tra cui Balada Injector, Detour Dog e DollyWay. Queste operazioni sono note per prendere pesantemente di mira i siti WordPress allo scopo di reindirizzare i visitatori verso truffe e malware. Le catene di redirect storiche mostrano inoltre Help TDS trasferire direttamente il traffico a VexTrio Viper, un'operazione di cybercrime basata su affiliati e associata a truffe, software indesiderato, spyware, software pubblicitario e contenuti pornografici.
La presunta origine risale a ROI777 e a Operation Prowli, una campagna resa nota da Guardicore Labs nel giugno 2018. Quell'attività comprometteva server vulnerabili, distribuiva un malware chiamato r2r2 e utilizzava i sistemi per il mining di criptovalute. Anche installazioni WordPress e server che eseguivano altri content management systems (CMS), software utilizzati per creare e gestire siti web, venivano sfruttati per monetizzare il traffico. In questo sistema, i gestori dei siti web fornivano visitatori a ROI777 e ricevevano un pagamento per il traffico, mentre i siti di destinazione offrivano truffe, servizi falsi ed estensioni del browser malevole.
Una fuga di informazioni sottratte ai server di ROI777, avvenuta nel marzo 2018, ha esposto identità Telegram e dettagli sulle campagne. Si ritiene che la divulgazione abbia contribuito a un rebranding avvenuto nel periodo in cui era operativo Disposable TDS, descritto come un precursore di Help TDS. GoDaddy ha inoltre scoperto che roi777[.]com è stato utilizzato come dominio C2 storico tra il 2018 e il 2020. Infoblox afferma che i record storici del Domain Name System (DNS), l'uso ricorrente delle stesse piattaforme pubblicitarie di affiliazione e metodi C2 coerenti tra loro consentono di affermare con un elevato grado di certezza che ROI777 e Hotejka siano la stessa operazione.
Da aprile 2026, le truffe utilizzano siti gratuiti di Cloudflare Pages sotto il dominio pages[.]dev, con circa 300 pagine usa e getta create ogni giorno e più di 20.000 rilevate complessivamente. Un post di Hotejka su Telegram datato 17 luglio 2026 sosteneva che un piccolo call center in Germania avrebbe gestito da 50 a 100 chiamate al giorno. Altri post promuovevano installazioni forzate di estensioni del browser e pagine di assistenza progettate per resistere ai tentativi di abbandonarle. Sulla base di otto anni di volumi DNS osservati, identificatori degli affiliati e compensi pubblicitari comunemente segnalati, Infoblox sospetta che due programmi di affiliazione europei abbiano versato all'operazione almeno alcuni milioni di dollari statunitensi, sebbene questa cifra sia una stima e non un totale confermato.
Per i proprietari di siti web, i risultati mostrano come credenziali di amministratore rubate o codice WordPress iniettato possano trasformare un sito altrimenti legittimo nel primo passaggio di una truffa, senza che la pagina finale debba essere ospitata sul sito stesso. I proprietari dovrebbero considerare plugin, account amministratore e blocchi HTML sconosciuti, oltre ai redirect inspiegabili, come potenziali segnali di compromissione. Per chi sta valutando servizi gestiti, AEU Hosting offre hosting WordPress gestito e protetto end to end. I visitatori che incontrano un avviso di sicurezza a schermo intero dovrebbero evitare di chiamare il numero visualizzato o di installare software di controllo remoto su richiesta dell'interlocutore.