Help TDS – Hotejka
Az Infoblox Threat Intel kutatói feltárták a Help TDS, legalább 2017 óta működő forgalomelosztó rendszer hátterét, amely felhasználókat hamis technikai támogatási oldalakra irányít. A kutatók nagy bizonyossággal a Hotejka nevű orosz nyelvű partnerprogramhoz kötik a szolgáltatást, amely szerintük a korábban ROI777 néven működő infrastruktúra folytatása. Az összefüggést történeti DNS-adatok, közös infrastruktúra, partnerazonosítók és a Hotejka affiliate felületéhez szerzett hozzáférés támasztja alá.
Az áldozatok kompromittált weboldalakról, rosszindulatú hirdetésekből, spamüzenetekből és közösségi médiából kerülnek a Help TDS rendszerébe. A szolgáltatás böngésző-ujjlenyomat és földrajzi hely alapján szűri a látogatókat, majd a megfelelőnek ítélt célpontoknak hamis Microsoft-figyelmeztetést és nehezen bezárható, hangjelzésekkel kísért böngészőzárat jelenít meg. A megadott telefonszám felhívásakor a csalók Microsoft-támogatásnak adják ki magukat. Az Infoblox kutatói egy ilyen hívást is végigkövettek: az operátor végül az UltraViewer legitim távoli asztali program telepítésére próbálta rávenni őket, amellyel teljes távoli hozzáférést kaphatott volna a géphez.
A Hotejka 2026 áprilisa óta nagyrészt ingyenes Cloudflare Pages oldalakat használ. Naponta közel 300 új pages.dev címet jelent be, miközben az Infoblox hat hónap alatt több mint 20 ezer, a Help TDS-hez kapcsolódó domaint figyelt meg, további mintegy 10 ezret pedig feltételezett phishing- vagy megtévesztő infrastruktúrához kötött. Ez nem a Cloudflare sérülékenységét jelenti: a támadók egy legitim, olcsón és gyorsan használható tárhelyszolgáltatást élnek vissza.
A kutatók több domain-generáló algoritmust visszafejtettek, és ezek mintázatai alapján prediktív DNS-detektálást készítettek. A rendszer átlagosan hét nappal azelőtt felismeri a várható Help TDS domaineket, hogy azokat a támadók használatba vennék. Szeptember közepéig több mint 16 ezer olyan címet azonosítottak előre, amelyet később ténylegesen bejelentettek a Hotejka infrastruktúrájában. Az Infoblox ügyfeleinél a Help TDS-nek kitett szervezetek aránya a korábbi, egyes napokon közel 4 százalékos szintről szeptemberre körülbelül 0,5 százalékra csökkent. Ezek az értékek kitettséget, nem sikeres kompromittálást jelentenek.
