Uzun süredir faaliyet gösteren bir Trafik Dağıtım Sistemi olan Help TDS, Rusça bir bağlı kuruluş programı olan Hotejka ile bağlantılı. Hotejka, ROI777 adıyla bilinen bir trafik para kazanma operasyonunun yeniden markalanması gibi görünüyor.
Help TDS'nin en az 2017 yılından beri aktif olduğu değerlendiriliyor. Ortaklara ve bağlı kuruluşlara, farkında olmadan kullanıcıları teknik destek dolandırıcılığına yönlendirmek amacıyla ele geçirilmiş web sitelerine kurulacak PHP kod şablonları sunuluyor. Bu dolandırıcılıklar, tam ekran tarayıcı manipülasyonu ve çıkış engelleme teknikleri kullanıyor ve kurbanları sorunu gidermek için bir Windows Destek numarasını aramaya çağıran sahte Microsoft Windows güvenlik uyarı ekranları gösteriyor.
Infoblox'un The Hacker News ile paylaştığı raporda şöyle deniyor: "Help TDS, kullanıcıları çağrı merkezlerine yönlendiren teknik destek dolandırıcılıkları sunuyor; burada sosyal mühendislik kullanılarak kurbanların uzaktan masaüstü araçları kurması sağlanıyor. Bu basit bir kredi kartı dolandırıcılığı değil; uzaktan erişim, yaşam biçiminden faydalanan kötü amaçlı yazılım operasyonları. Bir kez içeri girdikten sonra tehdit aktörü kurbanı tekrar tekrar sömürebilir."
Help TDS'nin evrimi GoDaddy tarafından ağustos 2025'te belgelendi. Tehdit aktörünün binlerce web sitesinde "woocommerce_inputs" adlı kötü amaçlı bir WordPress eklentisi kullandığı vurgulandı. Bu eklenti WordPress kullanıcı kimlik bilgilerini çalıyor ve komuta ve kontrol sunucularından URL'leri çekerek kötü amaçlı yönlendirmeleri kolaylaştırıyor. Eklenti ya da alternatif olarak özel bir HTML bloğu, Hotejka'nın bağlı kuruluşları tarafından sitelere enjekte ediliyor.
Tarihsel kötü amaçlı yönlendirme zinciri takibi, Help TDS'nin trafiği doğrudan VexTrio Viper'a aktardığını da ortaya çıkardı. VexTrio Viper, dolandırıcılık, risk yazılımı, casus yazılım, reklam yazılımı ve pornografik içerik sunan bağlı kuruluş programını yürüten bir siber suç operatörü.
En yeni bulgular TDS'yi Hotejka ile ilişkilendiriyor. Hotejka'nın ise, Guardicore Labs'ın şimdi Akamai'nin bir parçası olan birimi tarafından haziran 2018'de Operation Prowli kod adlı trafik manipülasyonu ve kripto para madenciliği kampanyası bağlantısıyla ifşa edilen ROI777'nin halefi olduğu şüpheleniliyor.
Aktivite, r2r2 adlı kötü amaçlı yazılımın dağıtılması için savunmasız sunucuların ele geçirilmesini ve ardından kripto para madenciliği için kullanılmasını içeriyordu. Eş zamanlı olarak WordPress siteleri ve diğer içerik yönetim sistemleri çalıştıran sunucular trafik para kazanma dolandırıcılığı için istismar edildi.
Guardicore Labs o dönemde şöyle not etmişti: "ROI777 gibi trafik para kazananlar, Prowli saldırganları gibi 'web sitesi operatörlerinden' trafik satın alıyor ve bunu talep üzerine alan adlarına yönlendiriyor. Web sitesi 'operatörleri' roi777 üzerinden gönderdikleri trafik başına para kazanıyor. Hedef alan adları sıklıkla sahte hizmetler, kötü amaçlı tarayıcı uzantıları ve daha fazlası gibi farklı dolandırıcılıklara ev sahipliği yapıyor."
Yeniden markalaşmanın, mart 2018'de ROI777 sunucularından elde edilen verilerin sızdırılmasıyla tetiklendiğine inanılıyor. O dönemde Disposable TDS adıyla faaliyet gösteren sistemin öncüsü çalışıyordu. Yayınlanan detaylar kullanıcılarının Telegram kimliklerini ve birden fazla kampanya bilgisini içeriyordu.
Hotejka ile ROI777 arasındaki bağlantı bununla sınırlı değil; GoDaddy ayrıca "roi777[.]com" alan adının 2018 ile 2020 yılları arasında yönlendirme alan adlarını çekmek için kullanılan tarihsel komuta ve kontrol alan adlarından biri olduğunu da tespit etti.
Infoblox'a göre: "Hotejka'nın bağlı kuruluşları spam operatörlerinden web sitesi ele geçirenlere kadar uzanıyor. Potansiyel kurbanlar bu bağlı kuruluşlardan Hotejka tarafından sağlanan özel URL'ler aracılığıyla TDS'ye yönlendiriliyor. TDS daha sonra kullanıcıya tarayıcı parmak izi ve konum üzerinden değerlendirerek ne yapılacağına karar veriyor."
Bir TDS, ele geçirilmiş web sitelerinden, kötü amaçlı reklamlardan, sosyal medya gönderilerinden ya da SEO spam'inden gelen internet trafiğini engelleyen bir röle gibi çalışır. Ziyaretçiyi analiz eder, önceden tanımlanmış kriterlere göre trafiği filtreler; örneğin coğrafi konum, cihaz meta verileri, IP itibarı ve başsız tarayıcılar ve dinamik olarak dolandırıcılıklara, tarayıcı kilitlerine ya da kötü amaçlı yazılım bırakmalarına yönlendirir.
Infoblox'un açıklamasına göre: "Help TDS ve öncülleri küçük bir bağlı kuruluş programı için yönlendirme karar altyapısıdır. Diğer tehdit aktörleri, örneğin web sitelerini ele geçirenler, potansiyel kurban trafiğini özel olarak hazırlanmış URL'ler aracılığıyla TDS'ye gönderir."
TDS'nin Keitaro üzerinde uygulandığına inanılıyor. Keitaro, çeşitli tehdit aktörleri tarafından kötüye kullanılan bir reklam performansı takip platformu. İlk Help TDS yemlerinden bazıları kullanıcılara yaklaşan bir Windows güncellemesi olduğunu bildiriyor, ardından makinenin Microsoft tarafından devre dışı bırakıldığına dair bir uyarı geliyor, bilgisayarı yeniden başlatmamaları söyleniyor ve yasa dışı faaliyetleri engellemek için bir "bilgisayar kilidi" konulduğu belirtiliyor.
Korku yazılımı istemi, kurbanı Microsoft Teknik Destek ekibiyle iletişime geçmeye ikna etmek için tasarlandı. Kurban telefonu açarsa, diğer uçtaki tehdit aktörü onlardan Ultraviewer gibi ücretsiz bir uzaktan masaüstü aracını indirip kurmalarını isteyerek enfekte makinenin tam kontrolünü ele geçiriyor.
Parmak izi belirleme adımı, kullanıcının teknik destek dolandırıcılığına mı yoksa başka bir bağlı kuruluş pazarlama platformuna mı yönlendirileceğini belirliyor. Bu platform daha sonra cihazı tekrar değerlendiriyor ve trafiği yeniden satıyor. Bu yollar, kurbanın tarayıcısını itme bildirimleri spam'ine kaydetmek için sahte CAPTCHA kontrolleri içeren dolandırıcılık iniş sayfalarına çıkıyor.
Infoblox şöyle diyor: "Tarihsel DNS kayıtları, yıllar boyunca diğer bağlı kuruluş reklam platformlarının sadık kullanımı ve tutarlı komuta ve kontrol mekanizmaları, ROI777 ve Hotejka'nın aynı olduğu konusunda bize yüksek derecede güven veriyor."
Hotejka'nın Telegram kanalı @hotejka_hot üzerinde paylaştığı mesajlar, zorla tarayıcı uzantısı kurulumlarını ve "çıkması çok zor" teknik destek iniş sayfalarını reklam ederek suç niyetini gösteriyor. 17 temmuz 2026 tarihli bir gönderide operatör, "Almanya'daki küçük bir çağrı merkezi günde 50-100 çağrıyı halledecek" iddiasında bulundu.
Nisan 2026'dan bu yana dolandırıcılıklar ücretsiz Cloudflare Pages sitelerinde (*.pages[.]dev) yürütülüyor ve tehdit aktörü günde yaklaşık 300 geçici sayfa oluşturuyor. O tarihten itibaren 20.000'den fazla böyle alan adı tespit edildi. Son yıllarda Hotejka'nın CrackingX gibi forumlarda farklı takma adlar kullandığı da görüldü; e-posta spam'inden trafik ve WordPress yönetici paneli erişimi 100 dolardan başlayan fiyatlarla aranıyor.
Toplamda Balada Injector, Detour Dog ve DollyWay dahil yaklaşık 20 farklı bağlı kuruluş Help TDS'ye trafik gönderiyor. Bu operasyonların kurbanları dolandırıcılık ve kötü amaçlı yazılıma yönlendirmek için WordPress sitelerini yoğun şekilde hedeflediği biliniyor.
Infoblox'un değerlendirmesi şu şekilde: "Hotejka/ROI777 2017'den beri iki bağlı kuruluş platformuna sadık kaldı ve bu sadakatin iyi ödendiğine inanıyoruz. Son 8 yılda gözlemlenen DNS hacimleri, zaman içinde trafiği takip etmek için bağlı kuruluş kimliklerini kullanma yeteneğimiz ve genel olarak bağlı kuruluş reklamcılığı için yaygın olarak belirtilen ödeme rakamları üzerinden, iki Avrupa programının onlara en az birkaç milyon dolar ödediğini düşünüyoruz."
