Een al jaren actief netwerk van omleidingen dat bekendstaat als Help TDS Hotejka blijkt gekoppeld aan techsupport-scams die slachtoffers via nep-Windowswaarschuwingsschermen richting telefoonnummers en remote desktop-toepassingen sturen. Onderzoekers beschrijven hoe dit systeem verkeer analyseert, gericht doorzet naar scam-pagina’s en daarbij ook advertentie- en platformcomponenten misbruikt.
Wat de zaak extra onrustig maakt: sinds april 2026 worden de scams ook gedraaid op duizenden gratis Cloudflare Pages-domeinen, met ongeveer 300 “disposable” pagina’s per dag. Daardoor lijkt de operatie flexibel, snel op te schalen en moeilijker te stoppen met alleen traditionele blokkades.
Wat is Help TDS Hotejka precies?
Help TDS (Traffic Distribution System) werkt als een soort verkeerscentrale. Bezoekers komen binnen via gecompromitteerde websites, kwaadaardige advertenties of SEO-spam. Daarna maakt het systeem op basis van kenmerken van de bezoeker een keuze: waar moet het verkeer naartoe worden gerouteerd?
In de berichtgeving wordt uitgelegd dat de TDS het verkeer kan “onderverdelen” op basis van onder meer browserfingerprinting en locatie. Vervolgens wordt de bezoeker doorgestuurd naar een landingpagina die past bij die beoordeling—bijvoorbeeld een techsupport-scam, maar mogelijk ook andere affiliate-achtige routes.
Hoe ziet de techsupport-scam er in de praktijk uit?
De kern van de scam is een manipulatieve browser-ervaring. Slachtoffers krijgen een scherm dat lijkt op een Windows-beveiligingswaarschuwing, vaak met technieken die het moeilijk maken om weg te klikken. Het doel is om de gebruiker te overtuigen contact op te nemen met een “Windows Support”-nummer.
Wie belt, krijgt volgens de rapportage instructies om een remote desktop-tool te installeren (genoemd wordt bijvoorbeeld Ultraviewer). Dat is het moment waarop aanvallers via social engineering remote toegang kunnen krijgen tot de pc van het slachtoffer.
Belangrijk detail: het wordt niet alleen gezien als “klassieke” fraud met betalingsgegevens. De beschrijving plaatst de operatie nadrukkelijk in de categorie remote access en “living-off-the-land”-gedrag: zodra de drempel is genomen, kan het slachtoffer vaker opnieuw benaderd worden of kan toegang worden uitgebuit.
Van ROI777 naar Hotejka: rebranding en doorlopende infrastructuur
Het verhaal achter Help TDS Hotejka lijkt geen eenmalige aanval. De onderzoekers koppelen Hotejka aan een eerdere activiteit die ROI777 werd genoemd. ROI777 is in verband gebracht met traffic-manipulatie en cryptocurrency mining-campagnes, waarbij kwetsbare systemen werden ingezet om verkeer te vergaren en om het daarna door te sluizen naar domeinen die scams konden hosten.
Er wordt ook genoemd dat die rebranding mogelijk mede is ingegeven door informatie die in 2018 uitlekte van ROI777-servers. In die context werden onder andere details over campagnes en identiteiten genoemd. Volgens de huidige bevindingen gebruikt Hotejka historisch bekende infrastructuurcomponenten, waaronder command-and-control-domeinen uit eerdere jaren.
Misbruik van WordPress en plugins: zo komt verkeer binnen
GoDaddy rapporteerde in 2025 over een kwaadwillende WordPress-plug-in die wordt gekoppeld aan de operatie. Het gaat om “woocommerce_inputs”. Deze plug-in zou op duizenden websites zijn ingezet om WordPress-gebruikersreferenties te stelen. Daarna konden omleidingen worden gefaciliteerd door gegevens/URLs op te halen uit command-and-control servers.
Alternatief voor de plug-in: in sommige gevallen zou ook een aangepaste HTML-block in sites zijn geïnjecteerd om vergelijkbare redirectfunctionaliteit te leveren. In beide scenario’s dienen de geïnfecteerde websites als ingangspunt voor verkeer richting Help TDS.
Waar draait het tegenwoordig: Cloudflare Pages
Een opvallende recente stap is dat de scams sinds april 2026 draaien op gratis Cloudflare Pages-sites met domeinen in de vorm *.pages.dev. Het rapport stelt dat de aanvallers grofweg 300 disposable pagina’s per dag hebben aangemaakt. Sindsdien zijn er 20.000+ van die domeinen gedetecteerd.
Omdat dit “disposable” content is, kan de operatie relatief snel wisselen van landingspagina’s. Daardoor wordt het moeilijker om met vaste allow/block-lijsten te werken, en verschuift de focus naar patroonherkenning en bredere mitigaties.
Waarom het zo lastig te stoppen is
Een TDS is niet één enkele website, maar een beslis- en routeringslaag. Volgens Infoblox fungeren Help TDS en de voorlopers als infrastructuur die verkeer “doorrekent” voor een klein affiliatenetwerk, waarbij andere actoren (zoals site-compromisers) potentiële slachtoffers via speciaal samengestelde URLs naar die TDS sturen.
Daarnaast is er sprake van herhaaldelijk doorgeven van verkeer aan andere scam-operatoren en affiliate-achtige platformen. Dat betekent: zelfs als je één landingpagina uitschakelt, kan verkeer via andere routes toch landen waar het hoort—op scam-content of verdere doorverwijzing.
Wat kun je nu als organisatie doen?
Je kunt dit soort campagnes niet alleen bestrijden met “één patch”. Wel kun je de kans op binnenkomend verkeer en de impact voor eindgebruikers sterk verkleinen.
- Herken en vergrendel WordPress-kwetsbaarheden en misbruik van plugins. Houd plugins en thema’s up-to-date en controleer op ongebruikelijke injecties of nieuwe verdachte codeblokken.
- Monitor omleidingen en verdachte browser-interacties. Let op “full-screen” scareware-achtige prompts en patronen die gebruikers blokkeren om af te sluiten.
- Versterk endpointbescherming en remote access checks. Als er remote desktop tooling wordt aangeraden, is dat voor gebruikers een duidelijk alarmsignaal.
- Werk met webfiltering op basis van gedrags- en reputatiesignalen. Omdat de aanval vaak snel wisselt van domeinen, helpt het om niet alleen op één domein te blokkeren.
- Train op sociale-engineering. Benadruk dat “Windows support” via telefoon de normale weg niet is en dat “nep-updates” en waarschuwingen niet leiden tot bellen.
Wil je dit soort TDS-gedreven scamketens beter in context zien? Lees dan ook hoe verdediging tegen misleiding en doorverwijzing werkt in recente berichtgeving over scam- en exploitketens, zoals patches tegen RCE en DoS in Next.js (als voorbeeld van het bredere belang van snelle updates en ketenpreventie).
Relatie met eerdere campagne-infrastructuur
De rapportage suggereert dat Help TDS Hotejka niet losstaat van eerdere traffic-monetization operaties. Historische DNS-sporen, consistente command-and-control-mechanismen en gebruik van affiliatenetwerken worden genoemd als reden voor een hoge mate van vertrouwen in de koppeling tussen ROI777 en Hotejka.
Daarbij wordt ook aangegeven dat Hotejka via verschillende aliassen op online fora probeert verkeer te kopen. Sommige deelnemers zouden bestaan uit spamoperators, andere uit partijen die websites compromitteren om vervolgens verkeer naar de TDS te sturen.
Conclusie
Help TDS Hotejka laat zien hoe moderne scamoperaties vaak niet draaien om één kwetsbaarheid, maar om een volledige keten van verkeersverzameling, bezoekersanalyse en dynamische omleiding. De combinatie van gecompromitteerde websites, scareware-achtige browsermanipulatie en schaalbare “disposable” hosting (zoals Cloudflare Pages) maakt de campagnes veerkrachtig.
Door WordPress- en plugin-hygiëne te versterken, gebruikers te trainen op social engineering en web- en endpointbeveiliging te richten op gedragsindicatoren, kun je de impact van dit soort techsupport-scams aanzienlijk beperken.
Bron: https://thehackernews.com/2026/10/help-tds-linked-to-hotejka-as-20000.html
