Een langlopend netwerk dat bekendstaat als Help TDS blijkt gekoppeld aan Hotejka, een affiliate-gedreven campagne die bezoekers naar tech support scams stuurt. Het draait om een routeersysteem dat internetverkeer “analyseert” en vervolgens doorstuurt naar pagina’s waar slachtoffers met scareware en sociale manipulatie worden misleid om contact op te nemen met een zogenaamd Windows- of Microsoft-supportnummer.
Volgens beveiligingsinformatie die is gedeeld, is Help TDS al sinds minstens 2017 actief. Het systeem levert daarbij code-templates aan partners, die vervolgens in gecompromitteerde websites worden geplaatst om bezoekers doelgericht naar oplichting te leiden.
Wat is Help TDS en waarom is het zo effectief?
Help TDS is in essentie een verkeersschakelaar. Het vangt potentiële slachtoffers op via onder meer gecompromitteerde websites, kwaadaardige advertenties, social media-links en SEO-spam. Daarna bepaalt het systeem op basis van vooraf ingestelde criteria waar de bezoeker naartoe moet.
De doorstuurbeslissingen worden niet willekeurig genomen. Het netwerk gebruikt onder andere browser fingerprinting en locatie-informatie om te sturen naar verschillende “routes”: een tech support scam, een volgende affiliate-marktplaats, of andere landingspagina’s die spam, malafide content of extra malware kunnen opleveren.
Van route naar oplichting: scareware en ‘Microsoft Windows’-waarschuwingen
De kern van de scam is het misleiden van gebruikers via browser-manipulatie. In de waarschuwingsschermen die slachtoffers te zien krijgen, wordt de gebruiker bijvoorbeeld geconfronteerd met full-screen “alerts” die lijken op Windows-beveiligingsmeldingen. Daarbij worden technieken gebruikt om de gebruiker moeilijk te laten afsluiten.
De boodschap stuurt aan op één actie: telefonisch contact opnemen met een Windows Support-nummer. Zodra het slachtoffer belt, probeert de aanvaller via social engineering te overtuigen om software te installeren waarmee de aanvaller vervolgens op afstand controle kan krijgen.
In de beschrijving van het mechanisme wordt ook aangegeven dat de aanpak geen simpele creditcardfraude is. Het gaat om een stap richting “remote access” waarbij de dader het slachtoffer herhaaldelijk kan uitbuiten.
De rol van Hotejka en het affiliate-mechanisme
Help TDS wordt in de bevindingen gekoppeld aan Hotejka, dat wordt gezien als een herlabeling of opvolger van een eerder bekende traffic monetization operatie. Binnen dit soort structuren kopen of leveren affiliates verkeer en verdienen zij geld op basis van doorverwijzingen en conversies.
Hotejka zou daarbij traffic doorsturen via speciaal gemaakte URLs. Vervolgens voert Help TDS de bezoekers “door de keuring” en bepaalt het netwerk welke bestemming het meest oplevert. Ook wordt beschreven dat Help TDS regelmatig doorgeeft aan andere cybercrime-operators die op hun beurt weer verkeer omzetten naar scams en schadelijke content.
Waarom WordPress en andere websites worden geviseerd
Een belangrijk onderdeel van de keten is de mogelijkheid om code te injecteren in websites. Eerdere observaties koppelen dit aan een malicious WordPress-plugin, waarbij templates of HTML-blokken in sites terechtkomen. Daardoor worden redirect-logica en het doorstuurpad geactiveerd zodra bezoekers op de besmette pagina’s komen.
Het resultaat: een ogenschijnlijk normale site kan functioneren als startpunt voor een ingewikkelde redirect chain, die bezoekers uiteindelijk naar tech support scam landingspagina’s leidt.
Cloudflare Pages: disposable websites als ruilmiddel
Een opvallende ontwikkeling is dat de scams sinds april 2026 worden gedraaid op gratis Cloudflare Pages-domeinen met varianten zoals “*.pages.dev”. Daarbij werden grote aantallen tijdelijke pagina’s gesignaleerd: ongeveer 300 disposable pages per dag.
In de periode die is genoemd, zijn er daarbij 20.000+ van dit soort domeinen gedetecteerd. Dit maakt het voor verdedigers lastig om één vaste infrastructuur neer te zetten: de aanvallers kunnen snel wisselen en beperken zo de tijd waarin een pagina effectief kan worden uitgeschakeld.
Hoe het systeem gebruikers ‘vastzet’
De tech support scam is ontworpen om exit te bemoeilijken. In de geobserveerde berichten wordt zelfs vermeld dat landingspagina’s “zeer moeilijk te verlaten” zijn. Dit ondersteunt scareware: gebruikers panikeren, klikken door, en nemen sneller contact op met het nummer dat de pagina voorschrijft.
Daarnaast worden tussenstappen beschreven zoals fake CAPTCHA-checks. Daarbij lijkt de pagina een legitieme verificatie te doen, terwijl het doel juist is om de browser in te schrijven voor push-notificatie-spam of om een verdere flow te starten richting de aanvaller.
Van ROI777 naar opvolgers: waarom dit patroon blijft terugkomen
Bevindingen wijzen erop dat Hotejka mogelijk samenhangt met eerdere activiteiten rond ROI777, een campagne die al in 2018 werd besproken in verband met traffic manipulation. Toen zouden aanvallers kwetsbare servers hebben ingezet om malware te deployen en ook cryptocurrency mining te faciliteren.
Ook worden historische command-and-control elementen genoemd, waaronder een domein dat in de periode 2018-2020 gebruikt zou zijn om redirect-domeinen op te halen. Het idee: dezelfde infrastructuurlogica en dezelfde type “verkeer inkopen en omleiden” kunnen jaren later in een nieuwe verpakking terugkomen.
Signalen voor organisaties: waar kun je op letten?
Je hoeft niet te wachten tot je een incident hebt. Let op aanwijzingen die passen bij het patroon rondom Help TDS en Hotejka:
- Onverwachte redirects vanaf specifieke landingspagina’s of advertentie-achtige URL’s, vooral richting tech support-achtige bestemmingen.
- Injecties in WordPress, bijvoorbeeld via onbekende plugins of verdachte HTML-blokken die redirect-logica toevoegen.
- Browser-popups en manipulatie die lijken op Windows-beveiligingswaarschuwingen met een “bel nu”-aanpak.
- Stormen aan disposable domeinen of push-notificatieverzoeken die passen bij affiliate landingspagina’s.
- Verdachte affiliate-gedreven doorstuurketens die bezoekers opnieuw evalueren via fingerprinting of locatiecriteria.
Als je organisatie veel gebruikersverkeer verwerkt (bijvoorbeeld via webhosting, marketingkanalen of SEO-gedreven content), is dit type redirect chain extra relevant om te detecteren en te blokkeren.
Praktische reactie: wat te doen als je dit vermoedt
Wanneer je signalen ziet die passen bij dit soort tech support scams, is een snelle en gestructureerde aanpak belangrijk. Denk aan het controleren van website-integriteit, het uitsluiten van verdachte plugins en het inspecteren van webverkeer op onverklaarbare redirect-patronen.
Voor organisaties die ook te maken hebben met vergelijkbare redirect- en aanvalspatronen in het webdomein, kan het nuttig zijn om bredere incidenten en kwetsbaarheden te vergelijken. Bijvoorbeeld: een eerder besproken patch- en risicoanalyse zoals Drupal update nodig: Field UI RCE doorbreking laat zien hoe compromis in CMS-omgevingen tot injecties en doorverwijzingen kan leiden.
Daarnaast kan het helpen om de scamketen te benaderen als een security supply chain probleem: niet alleen de landingspagina zelf is relevant, maar ook de eerste schakel die verkeer “afvangt” en doorstuurt. Over die bredere context van aanvalsketens en misbruik van systemen is NGINX fix vijf kwetsbaarheden: RCE en TLS-risico een voorbeeld van hoe infrastructuurkwetsbaarheden kunnen bijdragen aan compromissen die later worden misbruikt.
Conclusie
Help TDS is geen op zichzelf staand trucje, maar een routeersysteem dat bezoekers doelgericht doorstuurt naar tech support scams. In de nieuwste bevindingen wordt het netwerk gekoppeld aan Hotejka, dat op zijn beurt een affiliate-gedreven campagne voedt met disposable Cloudflare Pages en scareware-achtige browserwaarschuwingen.
Voor gebruikers en organisaties betekent dit: wees alert op onverklaarbare redirects, bescherm webomgevingen tegen CMS-injecties en behandel tech support meldingen met extra scepsis—zeker wanneer ze via full-screen manipulatie of “bel nu”-instructies tot actie willen dwingen.
Bron: https://thehackernews.com/2026/10/help-tds-linked-to-hotejka-as-20000.html
