Una nuova analisi rivela l'evoluzione di Help TDS, un sistema di distribuzione del traffico attivo dal 2017, legato a truffe tech support e con connessioni storiche a operazioni di monetizzazione del traffico e mining di criptovalute.
Le truffe di supporto tecnico (tech support scams) continuano a evolversi, sfruttando sistemi sofisticati per ingannare gli utenti e accedere ai loro dispositivi. Una recente analisi ha messo in luce l'attività di Help TDS, un sistema di distribuzione del traffico (TDS) attivo da almeno il 2017, che sembra essere collegato a un programma di affiliazione in lingua russa noto come Hotejka. Quest'ultimo, a sua volta, è sospettato di essere una rielaborazione di un'operazione di monetizzazione del traffico precedentemente identificata come ROI777.
Help TDS opera fornendo template di codice PHP ai propri partner e affiliati. Questi codici vengono poi installati su siti web compromessi con l'obiettivo di reindirizzare gli utenti ignari verso truffe di supporto tecnico. Queste truffe utilizzano tecniche di manipolazione del browser a schermo intero e prevenzione dell'uscita per mostrare falsi avvisi di sicurezza di Microsoft Windows, inducendo le vittime a contattare un numero di supporto per risolvere presunti problemi.
Infoblox, nel suo report, ha evidenziato come queste truffe non si limitino a frodi con carte di credito, ma portino all'installazione di strumenti di accesso remoto, consentendo agli aggressori di sfruttare ripetutamente la vittima. L'evoluzione di Help TDS è stata documentata anche da GoDaddy nell'agosto 2025, che ha segnalato l'uso di un plugin WordPress dannoso chiamato "woocommerce_inputs" su migliaia di siti. Questo plugin, o un blocco HTML personalizzato, veniva iniettato nei siti dagli affiliati di Hotejka per rubare le credenziali degli utenti WordPress e facilitare i reindirizzamenti malevoli, recuperando gli URL dai server di comando e controllo (C2).
Le indagini storiche sulle catene di reindirizzamento malevolo hanno inoltre rivelato che Help TDS ha regolarmente inoltrato traffico direttamente a VexTrio Viper, un operatore di cybercriminalità che gestisce un programma di affiliazione per truffe, riskware, spyware, adware e contenuti pornografici.
Le nuove scoperte collegano Help TDS a Hotejka, che a sua volta è sospettato di essere il successore di ROI777. Quest'ultima entità era stata esposta da Guardicore Labs (ora parte di Akamai) nel giugno 2018 in relazione a una campagna di manipolazione del traffico e mining di criptovalute denominata Operation Prowli. L'attività di ROI777 prevedeva il compromesso di server vulnerabili per distribuire un malware chiamato r2r2 e sfruttarli per il mining di criptovalute. Contemporaneamente, siti WordPress e server che eseguivano altri sistemi di gestione dei contenuti (CMS) venivano sfruttati per frodi di monetizzazione del traffico.
La rielaborazione di ROI777 in Hotejka è probabilmente dovuta alla fuga di dati dai server di ROI777 nel marzo 2018, periodo in cui operava anche Disposable TDS, un precursore di Help TDS. I dettagli pubblicati includevano identità Telegram dei suoi utenti e dettagli di molteplici campagne.
La connessione tra Hotejka e ROI777 non si ferma qui; GoDaddy ha anche scoperto che "roi777[.]com" è uno dei domini C2 storici utilizzati tra il 2018 e il 2020 per recuperare i domini di reindirizzamento.
Gli affiliati di Hotejka spaziano da operatori di spam a compromettitori di siti web. Le potenziali vittime vengono reindirizzate nel TDS tramite URL speciali forniti da Hotejka. Il TDS valuta quindi l'utente tramite fingerprinting del browser e localizzazione per determinare il corso d'azione. Un TDS funziona come un relay, intercettando il traffico Internet da siti web compromessi, annunci dannosi, post sui social media o spam SEO, analizzando il visitatore, filtrando il traffico in base a criteri predefiniti (come posizione geografica, metadati del dispositivo, reputazione IP e browser headless) e instradandolo dinamicamente verso truffe, browser locker o drop di malware.
Help TDS e i suoi precursori rappresentano l'infrastruttura decisionale di routing per un piccolo programma di affiliazione. Altri attori malevoli, ad esempio quelli che hanno compromesso siti web, inviano traffico di potenziali vittime al TDS tramite URL appositamente creati. Si ritiene che il TDS sia implementato su Keitaro, una piattaforma di tracciamento delle prestazioni pubblicitarie nota per essere abusata da vari attori malevoli.
Alcune delle esche iniziali di Help TDS inducono gli utenti a credere che sia in corso un aggiornamento di Windows, seguito da un avviso che il computer è stato disabilitato da Microsoft, con l'istruzione di non riavviare il computer e che è stato applicato un "blocco del computer" per impedire attività illegali. Questo prompt di scareware è progettato per persuadere la vittima a contattare il team di supporto tecnico Microsoft. Se la vittima effettua la chiamata, l'aggressore istruisce a scaricare e installare uno strumento di desktop remoto gratuito come Ultraviewer per ottenere il controllo completo della macchina infetta. La fase di fingerprinting determina se instradare l'utente alla truffa di supporto tecnico o a un'altra piattaforma di marketing di affiliazione, che a sua volta rivaluta il dispositivo e rivende il traffico.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
