Onderzoekers waarschuwen voor een langdurige campagne die draait om Help TDS en Hotejka. Dit zijn geen losse websites, maar onderdelen van een keten: via een zogenoemd Traffic Distribution System (TDS) worden bezoekers van gecompromitteerde of misleidende bronnen doorgestuurd naar techsupport-scams. In plaats van één simpele phishing-pagina kunnen slachtoffers worden geconfronteerd met volschermwaarschuwingen, lastige afsluitpogingen en instructies om een Windows “support”-nummer te bellen.
Dat maakt de aanpak anders dan “klassieke” creditcardfraude. Volgens Infoblox gaat het om misbruik met sociale manipulatie en vervolgens om het mogelijk maken van toegang op afstand via tools die slachtoffers zelf installeren. In dit artikel leggen we uit hoe de keten werkt, waar de signalen op wijzen en welke praktische stappen organisaties en website-eigenaren kunnen nemen.
Wat zijn Help TDS en Hotejka?
Help TDS en Hotejka vormen samen een campagne-infrastructuur. Help TDS is een TDS die al sinds minstens 2017 actief zou zijn. Het systeem levert partners en affiliates PHP-code templates om in gecompromitteerde websites te plaatsen. Die websites sturen daarna verkeer door naar bestemmingen die passen bij het doel van de opzet.
Hotejka wordt in de analyses gelinkt aan een rebrand van een eerdere traffic-monetization operatie, die eerder bekendstond onder de naam ROI777. Dat betekent: dezelfde “monetization”-logica, maar met andere namen en doorontwikkelingen in de uitvoering.
Waarom een TDS zo effectief is tegen slachtoffers
Een TDS werkt als een soort schakelstation in het webverkeer. Zodra een bezoeker via een verdachte route binnenkomt—bijvoorbeeld via gecompromitteerde sites, misleidende advertenties, social media-posts of SEO-gerichte spam—volgt een extra stap: de bezoeker wordt beoordeeld op basis van kenmerken.
In het onderzoek worden onder meer de volgende factoren genoemd voor de “routing decision”: geografische locatie, device- en browsermetadata, IP-reputatie en of het om een headless browser gaat. Vervolgens stuurt het systeem het verkeer door naar verschillende bestemmingen, zoals scam-landingpagina’s, browser-lockers (waarbij de gebruiker moeilijk kan wegkomen) of andere downloads.
De kern is dat de bezoeker niet altijd dezelfde bestemming krijgt. Daardoor is het lastiger om met één regel of één “blokkeerpagina” de hele campagne te stoppen.
De techsupport-scam: schermen, exit-problemen en een telefoontje
Een belangrijk onderdeel van de doorstuurketen is het opzetten van scareware. Slachtoffers zien meldingen die lijken op Windows-beveiligingswaarschuwingen. Daarbij wordt gebruikgemaakt van full-screen browser manipulatie en technieken om het “verlaten” van het scherm te bemoeilijken.
Daarna volgt het verzoek om contact op te nemen met een Windows Support-nummer. Als het slachtoffer belt, krijgt het social engineering aan de lijn en wordt het gevraagd een remote desktop-tool te installeren. In analyses wordt expliciet genoemd dat het gaat om toegang op afstand en dat die vervolgens opnieuw kan worden misbruikt, niet om éénmalige diefstal.
Hoe de campagne wordt ingebracht via websites en code-injectie
Help TDS wordt niet alleen via één kanaal verspreid. Partners krijgen templates waarmee code in websites kan worden geplaatst. In een eerder door GoDaddy beschreven ontwikkeling kwam naar voren dat een kwaadaardige WordPress-plugin—genaamd woocommerce_inputs—op duizenden websites is misbruikt.
Die plugin (of alternatieve injectie via een custom HTML-block) wordt door affiliates toegevoegd om vervolgens bezoekers via commando- en controle-infrastructuur (C2) naar specifieke redirect-URL’s te laten gaan. Met andere woorden: de website “draait” de routerfunctie door, terwijl de redirectbestemmingen dynamisch worden geleverd.
Het onderzoek schetst bovendien dat Help TDS in het verleden verkeer ook direct zou hebben overgedragen aan andere cybercrime-operators die affiliateprogramma’s exploiteren voor scams, riskware, spyware, adware en zelfs content van pornografische aard.
Opkomst via Cloudflare Pages: duizenden domeinen
Een opvallende recente verandering is de manier waarop de scams draaien op Cloudflare Pages. Sinds april 2026 zouden aanvallen worden uitgevoerd via gratis Pages-sites met domeinen in de vorm van *.pages.dev. In die periode zouden dagelijks ongeveer 300 “disposable pages” zijn aangemaakt.
Volgens de bevindingen zijn er sinds de start van deze aanpak meer dan 20.000 van dit soort domeinen gedetecteerd. Dat verlaagt de drempel om snel te roteren en maakt blokkeren lastiger: je hebt niet één vaste URL, maar een variërend netwerk van tijdelijke pagina’s.
Ketenlogica en terugkerende connecties naar ROI777
De koppeling tussen Help TDS en Hotejka is niet gebaseerd op één enkel detail. Onderzoekers noemen historische DNS-gegevens, consistente command-and-control-mechanismen en het patroon van “affiliate”-invloed over de jaren.
Eerder werd ROI777 gelinkt aan traffic manipulation en cryptomining-campagnes. Destijds ging het om het compromitteren van kwetsbare servers om malware te plaatsen en die vervolgens te gebruiken voor mining, terwijl ook WordPress-sites en andere CMS-omgevingen werden misbruikt voor traffic monetization-fraude.
Een belangrijke aanwijzing voor de opvolging/rebrand is dat roi777[.]com historisch als C2-domein zou zijn gebruikt om redirectdomeinen op te halen in de periode 2018–2020. Dat ondersteunt het idee dat Hotejka een voortzetting is met dezelfde onderliggende infrastructuur of operatoren.
Waarom dit ook voor beheerders van WordPress relevant is
De campagne richt zich aantoonbaar op website-eigenaren die WordPress gebruiken. Niet alleen omdat scripts/plugins misbruikt worden, maar ook omdat affiliates actief proberen verkeer naar de TDS te sturen via speciale routes en omdat redirectketens vaak starten bij gecompromitteerde plekken.
Voor beheerders geldt daarom: monitor niet alleen op bekende malware/defaced pages, maar ook op injecties die redirectgedrag veranderen. Daarbij kan het gaan om plugins die net lijken te passen binnen het normale beheer, maar in werkelijkheid code laden van externe infrastructuur.
Als je recent in de nieuwsstroom zoekt naar vergelijkbare aanvallen op CMS- en webcomponenten, kan dit artikel context geven over hoe injecties en misbruik in webapplicaties doorwerken: Nextcloud CODE-app: webshell door fout (CVE-2026-110447).
Concrete aandachtspunten om techsupport-scams te beperken
Hoewel een TDS zich aanpast door routing en domeinrotatie, zijn er wel maatregelen die de risico’s verlagen. Geen enkele maatregel is “voldoende” op zichzelf, maar een combinatie helpt.
1) Beperk de kans dat code wordt geïnjecteerd
- Werk plugins en thema’s bij en verwijder extensies die niet meer worden gebruikt.
- Controleer op onbekende wijzigingen in WordPress-bestanden, vooral waar “template”-achtige code of onverwachte HTML-blokken worden toegevoegd.
2) Let op verdachte redirect-gedrag
- Gebruik monitoring om te zien of gebruikers naar domeinen worden doorgestuurd die niet passen bij uw site.
- Let op patronen waarbij alleen sommige bezoekers (op basis van locatie/device) andere bestemmingen krijgen.
3) Versterk de incidentrespons bij verdachte pagina’s
- Leg vast hoe en wanneer bezoekers worden omgeleid, zodat je sneller kunt blokkeren en opschonen.
- Onderzoek niet alleen de “eindpagina”, maar ook de broncode en eventuele externe requests die redirects aansturen.
Voor organisaties die te maken krijgen met misbruik van webinfrastructuur en remote toegang als uitkomst van social engineering, is het bovendien verstandig om beveiligingspatching te koppelen aan procescontrole. Als voorbeeld van hoe snel kwetsbaarheden kunnen worden misbruikt: NGINX fixes: 5 kwetsbaarheden en RCE-risico. Dat artikel gaat over servercomponenten, maar de les (patchen en blootstelling beperken) is vergelijkbaar.
Wat betekent dit voor slachtoffers en medewerkers?
De scam is ontworpen om vertrouwen en urgentie te wekken: een Windows-melding die lijkt op een echte beveiligingsalert, gevolgd door het verzoek om direct te bellen. Vervolgens wordt remote desktop-toegang gepresenteerd als “oplossing”.
Voor medewerkers en eindgebruikers is het daarom belangrijk om te weten dat techsupport-waarschuwingen via browserpop-ups niet automatisch legitiem zijn. Interne procedures voor het melden van verdachte meldingen—en het verbod om op instructie software te installeren—helpen om besmetting of ongeautoriseerde toegang te voorkomen.
Conclusie: een aanpasbaar scam-netwerk dat doorbouwt
Help TDS en Hotejka laten zien hoe cybercriminelen een complexe keten combineren: een TDS die bezoekers fingerprint en gerichte bestemmingen kiest, website-injecties via affiliates en een doorlopende rotatie van domeinen—recentelijk zelfs via duizenden gratis Cloudflare Pages.
De belangrijkste boodschap is praktisch: blokkeer alleen “het einde” niet. Richt je ook op de routes ernaartoe (injecties, redirects en verdachte code) en werk je web- en pluginlandschap strakker bij. Zo verklein je de kans dat je site fungeert als startpunt in deze routing-infrastructuur.
Bron: https://thehackernews.com/2026/10/help-tds-linked-to-hotejka-as-20000.html
