Hotejka использует домены Cloudflare Pages для мошеннических схем
Help TDS, вредоносная система распределения трафика, активна как минимум с апреля 2017 года и приписывается русскоязычной партнёрской операции Hotejka, которая, по всей видимости, представляет собой ребрендинг ROI777. Основная полезная нагрузка системы, мошенническая схема технической поддержки: она показывает поддельные предупреждения Microsoft, сообщает о блокировке компьютера, блокирует браузер, воспроизводит сигнальные звуки и предлагает позвонить по мошенническому номеру службы поддержки. Операторы колл-центров выдают себя за технических специалистов Microsoft и убеждают жертв установить UltraViewer, легитимное приложение для удалённого доступа, которое предоставляет злоумышленникам обширный контроль над системой. Такой доступ может использоваться для последующего хищения данных, развёртывания ВПО, вымогательства и дополнительной эксплуатации.
Источники трафика и партнёрская сеть Help TDS
Инфраструктура Help TDS получает трафик с скомпрометированных сайтов, вредоносной рекламы, спама, социальных сетей и кампаний в Telegram. Среди партнёров Hotejka есть операции с вредоносным ПО для WordPress, в том числе Balada Injector, Detour Dog и DollyWay, а также операторы, использующие рекламные сети и ботов в Telegram.
Система учитывает отпечатки браузера, геолокацию и результаты проверки качества трафика. На их основе она определяет, увидит ли пользователь мошеннический сайт, будет ли перенаправлен на другую партнёрскую платформу или попадёт на приманку. Hotejka также рекламировала запланированную схему монетизации с принудительной установкой расширений браузера.
Домены и инфраструктура операции
С апреля 2026 года Hotejka активно использует одноразовые поддомены Cloudflare Pages в доменной зоне pages.dev. Ежедневно в рамках операции создаются сотни доменов с разными схемами именования и процессами генерации доменных имён. Всего зафиксировано около 30 000 доменов. Примерно 16 000 из них оператор впоследствии назвал в своём канале Telegram инфраструктурой TDS.
Обычно домены остаются активными около недели, некоторые затем повторно используют с другими именными серверами Cloudflare. При прямом обращении к доменам пользователям показывается обманный контент, в том числе поддельные страницы финансовых сервисов, который скрывает их истинное назначение.
Hotejka также использует перенаправление DNS CNAME. Некоторые домены указывают на hotcname.help, который разрешался в несколько IP-адресов и разделял инфраструктуру с конечными точками On1x VPN.
Код партнёрской программы
Инфраструктура партнёрской программы включает вредоносный плагин для WordPress и код, который извлекает актуальный домен C2 из канала Telegram или резервной конечной точки JSON. Код сохраняет домен в кэше с кодированием Base64, формирует адреса для конкретных партнёров и обновляет домен примерно каждые 30 секунд. Он также ограничивает показ мошеннических страниц рабочими часами в США.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
