Help TDS i dërgon vizitorët e WordPress drejt mashtrimeve të mbështetjes teknike
Mashtrimet e mbështetjes teknike të shpërndara përmes Help TDS kanë përdorur faqe WordPress të komprometuara dhe më shumë se 20 000 domain-e të Cloudflare Pages për të arritur viktima të mundshme. Infoblox e lidh Traffic Distribution System (TDS), një infrastrukturë afatgjatë që klasifikon vizitorët dhe i dërgon në destinacione të përzgjedhura, me programin e affiliate marketing në gjuhën ruse Hotejka. Dyshohet se Hotejka është një version me emër të ndryshuar i operacionit të mëparshëm ROI777 për monetizimin e trafikut. Vlerësohet se Help TDS ka funksionuar të paktën që nga viti 2017.
Sipas Infoblox, affiliate-t marrin URL të posaçme dhe PHP code templates, pjesë kodi server-side për faqe interneti, që mund të vendosen në faqe të komprometuara. TDS shqyrton çdo vizitor nëpërmjet browser fingerprinting dhe të dhënave të vendndodhjes, pastaj vendos se ku ta dërgojë atë person. Filtrat e tij mund të marrin parasysh vendndodhjen gjeografike, hollësitë e pajisjes, reputacionin e IP address dhe nëse vizita vjen nga një headless browser, pra një browser i automatizuar pa një dritare normale të dukshme. Trafiku mund të vijë nga faqe të komprometuara, reklama keqdashëse, postime në rrjete sociale ose spam i search engine optimization (SEO), i krijuar për të manipuluar rezultatet e kërkimit. Besohet se Help TDS funksionon në Keitaro, një platformë për gjurmimin e performancës së reklamave që është keqpërdorur edhe nga threat actors.
Vizitorëve të përzgjedhur për mashtrime të mbështetjes teknike mund t’u shfaqet një faqe në ekran të plotë që është e vështirë të mbyllet. Faqja fillimisht mund të pretendojë se një përditësim i Windows është i afërt dhe më pas të deklarojë se Microsoft e ka çaktivizuar kompjuterin. Mesazhe të tjera i thonë përdoruesit të mos e rinisë pajisjen, pretendojnë se ka pasur veprimtari të paligjshme dhe deklarojnë se kompjuterit i është vendosur një kufizim. Synimi është që viktima të telefonojë një numër që paraqitet si numër i mbështetjes së Microsoft. Nëse telefonata kryhet, personi që përgjigjet përpiqet ta bindë viktimën të instalojë një remote desktop application falas, si Ultraviewer, që i lejon një personi tjetër ta kontrollojë kompjuterin në distancë. Infoblox paralajmëron se ky akses mund të mundësojë shfrytëzim të përsëritur dhe jo vetëm një vjedhje të vetme të të dhënave të kartës së pagesës.
Jo çdo vizitor dërgohet domosdoshmërisht te mashtrimi telefonik. Infoblox zbuloi se Help TDS mund ta kalojë trafikun te një platformë tjetër affiliate marketing, ku pajisja vlerësohet përsëri dhe vizita rishitet. Disa prej këtyre rrugëve përfundojnë në faqe mashtruese që paraqesin kontrolle të rreme CAPTCHA, të cilat imitojnë testet e përdorura për të dalluar njerëzit nga programet e automatizuara. Faqet përpiqen t’i bindin përdoruesit të lejojnë njoftimet e browser-it, duke mundësuar më pas spam përmes push notifications.
Faqet WordPress të komprometuara janë një pjesë e rëndësishme e zinxhirit të shpërndarjes. Në gusht 2025, GoDaddy dokumentoi një plugin keqdashës të WordPress të quajtur woocommerce_inputs në mijëra faqe. Ai ishte krijuar për të vjedhur kredencialet e përdoruesve të WordPress dhe për të marrë adresa ridrejtimi nga serverët command-and-control (C2), të cilët janë sisteme që përdoren për t’i dhënë udhëzime ose destinacione kodit keqdashës. GoDaddy raportoi se affiliate-t e Hotejka futën në faqet e prekura ose plugin-in, ose një HTML block të personalizuar. Gjatë viteve të fundit, Hotejka është shfaqur gjithashtu me emra të ndryshëm në CrackingX, duke kërkuar trafik nga email spam dhe akses në llogaritë e administratorëve të WordPress me çmime që fillonin nga 100 dollarë.
Infoblox identifikoi rreth 20 affiliate që dërgonin vizitorë te Help TDS, përfshirë Balada Injector, Detour Dog dhe DollyWay. Këto operacione njihen për shënjestrimin në shkallë të gjerë të faqeve WordPress, me qëllim ridrejtimin e vizitorëve drejt mashtrimeve dhe malware. Zinxhirët historikë të ridrejtimit tregojnë gjithashtu se Help TDS ia kalonte trafikun drejtpërdrejt VexTrio Viper, një operacion cybercrime i bazuar te affiliate-t dhe i lidhur me mashtrime, softuer të padëshiruar, spyware, advertising software dhe përmbajtje pornografike.
Prejardhja e dyshuar shtrihet deri te ROI777 dhe Operation Prowli, një fushatë e bërë publike nga Guardicore Labs në qershor 2018. Kjo veprimtari komprometoi serverë të cenueshëm, instaloi malware të quajtur r2r2 dhe i përdori sistemet për cryptocurrency mining. Instalimet WordPress dhe serverët që përdornin content management systems (CMS) të tjera, pra softuer për krijimin dhe administrimin e faqeve të internetit, u shfrytëzuan gjithashtu për monetizimin e trafikut. Sipas kësaj marrëveshjeje, operatorët e faqeve i siguronin vizitorë ROI777 dhe paguheshin për trafikun, ndërsa faqet e destinacionit ofronin mashtrime, shërbime të rreme dhe browser extensions keqdashëse.
Një rrjedhje e të dhënave në mars 2018, të marra nga serverët e ROI777, ekspozoi identitete në Telegram dhe hollësi të fushatave. Besohet se publikimi kontribuoi në ndryshimin e emrit gjatë periudhës kur ishte aktiv Disposable TDS, i përshkruar si pararendës i Help TDS. GoDaddy zbuloi gjithashtu se roi777[.]com shërbeu si një domain historik C2 midis viteve 2018 dhe 2020. Infoblox thotë se records historike të Domain Name System (DNS), përdorimi i përsëritur i të njëjtave platforma reklamimi për affiliate dhe metodat e qëndrueshme C2 japin një shkallë të lartë sigurie se ROI777 dhe Hotejka janë i njëjti operacion.
Që nga prilli 2026, mashtrimet kanë përdorur faqe falas të Cloudflare Pages nën domain-in pages[.]dev, ku çdo ditë krijoheshin rreth 300 faqe të përkohshme dhe në total u zbuluan më shumë se 20 000. Një postim i Hotejka në Telegram, i datës 17 korrik 2026, pretendonte se një call center i vogël në Gjermani do të përpunonte 50 deri në 100 telefonata në ditë. Postime të tjera promovonin instalime të detyruara të browser extensions dhe faqe mbështetjeje të krijuara për t’u rezistuar përpjekjeve për t’u larguar prej tyre. Duke përdorur vëllimet e vëzhguara të DNS gjatë tetë viteve, identifikuesit e affiliate-ve dhe pagesat e reklamave të raportuara zakonisht, Infoblox dyshon se dy programe evropiane affiliate i paguan operacionit të paktën disa milionë dollarë amerikanë, megjithëse kjo shifër është një vlerësim dhe jo një total i konfirmuar.
Për pronarët e faqeve të internetit, gjetjet tregojnë se si aksesi i vjedhur i administratorit ose kodi i injektuar në WordPress mund ta shndërrojë një faqe përndryshe legjitime në hapin e parë të një mashtrimi, pa e vendosur faqen përfundimtare të mashtrimit në atë faqe. Pronarët duhet t’i trajtojnë plugin-et e panjohura, llogaritë e administratorëve, HTML blocks dhe ridrejtimet e pashpjegueshme si shenja të mundshme komprometimi. Për ata që po shqyrtojnë shërbime të menaxhuara, AEU Hosting ofron managed WordPress hosting, të siguruar nga fillimi në fund. Vizitorët që hasin një paralajmërim sigurie në ekran të plotë duhet të shmangin telefonimin e numrit të shfaqur ose instalimin e softuerit të kontrollit në distancë me kërkesë të telefonuesit.