DNS detection entdeckt Betrugsdomains von Help TDS eine Woche früher

Infoblox zufolge identifiziert seine DNS detection inzwischen Domains, die mit Help TDS in Verbindung stehen, etwa sieben Tage bevor die Betrugsoperation sie nutzt. DNS, das Domain Name System, ist das Nachschlagesystem, das Website-Namen mit Zielen im Internet verbindet. Das Unternehmen schreibt Help TDS Hotejka zu, einem kleinen russischsprachigen Affiliate-Programm, das es als neue Marke von ROI777 einstuft, einer mindestens seit April 2017 aktiven Operation.

Help TDS ist ein traffic distribution system, kurz TDS, das entscheidet, wohin Website-Besucher weitergeleitet werden sollen. Affiliates erhalten speziell erstellte Links von Hotejka und leiten ihnen Datenverkehr von kompromittierten Websites, über schädliche Werbung, soziale Medien und Spam zu. Das System nutzt browser fingerprinting, bei dem Merkmale des Browsers und Geräts eines Besuchers zusammen mit Standortdaten ausgewertet werden. Ausgewählte Besucher sehen einen gefälschten Aktualisierungshinweis, gefolgt von Warnungen im Vollbildmodus, die behaupten, Microsoft habe den Computer deaktiviert. Laute Alarmsignale, eine aufgezeichnete Stimme und eine schwer zu schließende Browserseite weisen das Opfer an, eine angebliche Supportnummer anzurufen.

Infoblox rief im Juni 2026 von einem Forschungsrechner aus eine dieser Nummern an. Der Mitarbeiter behauptete, den Microsoft Technical Support zu vertreten, fragte, ob das Gerät privat oder beruflich genutzt werde, und versicherte wiederholt, dass keine Kosten entstünden. Nachdem er erklärt hatte, wie sich die blockierende Seite schließen lasse, wies er den Forscher an, ultraviewer[.]net aufzurufen und UltraViewer zu installieren. Dabei handelt es sich um remote desktop software, also ein Werkzeug, mit dem eine andere Person einen Computer über das Internet steuern kann. Das Gespräch endete, nachdem der Forscher gefragt hatte, weshalb zusätzliche Software erforderlich sei, obwohl Windows Defender bereits installiert war. Infoblox zufolge handelt es sich dabei um mehr als eine Kreditkartenmasche, da der Fernzugriff wiederholtes Eindringen, Informationsdiebstahl und Erpressung ermöglichen könnte.

Die Zuordnung zu Hotejka stützt sich auf historische DNS-Daten, command-and-control infrastructure und langjährig verwendete Affiliate-Kennungen. Command and control, abgekürzt C2, ist die Infrastruktur, über die Anweisungen oder aktuell verwendete Ziele verteilt werden. ROI777 nutzte ursprünglich roi777[.]com für C2 und betrieb auf King Servers ein Keitaro-basiertes Routing-System. 2018 dokumentierten Forscher dessen schädliche Weiterleitungen. Daten, die von ROI777-Servern stammten, zeigten Telegram-Identitäten, Kampagneninformationen und Datenverkehr, der an eine andere europäische Affiliate-Plattform gesendet wurde. GoDaddy bezeichnete die frühere Operation als Disposable TDS, weil sie Domains des inzwischen eingestellten Registrars Freenom verwendete.

Infoblox stellte außerdem über 162.244.35[.]33 eine Verbindung zwischen den Operationen her. Unter dieser Adresse wurde roi777[.]com bis Mitte März 2022 gehostet, während hotejka[.]com, das im November 2019 registriert worden war, ab Anfang 2020 als deren PTR record erschien. Ein PTR record ist ein Reverse-DNS-Eintrag, der eine Internetadresse mit einem Namen verknüpft und von der Stelle eingerichtet wird, die diese Adresse kontrolliert. Hotejkas Kanäle tauchten erstmals Ende 2019 auf, seine Werbung im offenen Web war ab September 2020 sichtbar und die Anmeldeseiten von ROI777 verschwanden nach Januar 2022. Infoblox geht deshalb mit hoher Sicherheit davon aus, dass derselbe Betreiber hinter beiden Identitäten steht.

Hotejka kauft 2026 Besuche von etwa 20 identifizierten Affiliates, darunter Balada Injector, Detour Dog und DollyWay. Einige kompromittieren WordPress-Websites, während andere Spam, Werbung oder soziale Plattformen nutzen. Ein Affiliate setzte im Juni 2026 einen Telegram-Bot namens Your Free AI Assistant ein, um Werbung auszuliefern, die zu Help TDS führte. Unerwünschte Besucher können außerdem an andere Affiliate-Systeme weiterverkauft werden, wo sie auf weitere Betrugsmaschen oder gefälschte CAPTCHA-Tests stoßen können, die darauf ausgelegt sind, die Erlaubnis für Browserbenachrichtigungen zu erhalten. Hotejka-Anzeigen boten 2025 20 US-Dollar pro Anruf und im Mai 2026 100 US-Dollar für vergleichbaren Datenverkehr. Gesucht wurden dabei Opfer in Ländern wie den Vereinigten Staaten, Kanada, Frankreich, Schweden, Japan und Australien. Im Juli 2026 stellte Infoblox fest, dass Hotejka auf einer nachgelagerten Plattform der viertprofitabelste Affiliate war. Auf Grundlage von acht Jahren an DNS-Datenmengen, Affiliate-Kennungen und häufig genannten Werbevergütungen vermutet Infoblox, dass zwei europäische Programme der Operation mindestens mehrere Millionen US-Dollar gezahlt haben. Dies bleibt jedoch eine Schätzung.

Seit April 2026 nutzt die Operation kostenlose, kurzlebige Cloudflare Pages-Websites unter pages[.]dev. In der Regel entstehen täglich mehr als 125.000 neue pages[.]dev-Subdomains, während Hotejkas Telegram-C2-Kanal pro Tag fast 300 bekannt gibt und seinen aktiven Bestand alle fünf Minuten aktualisiert. Jede Domain lässt sich etwa eine Woche lang über DNS auflösen. Infoblox zufolge hat der Akteur innerhalb von sechs Monaten 12 domain generation algorithms eingesetzt, also automatisierte Regeln zur Erstellung von Domainnamen. Insgesamt erkannte das Unternehmen etwa 30.000 wahrscheinlich zugehörige Domains, darunter rund 16.000, die später für Help TDS bekannt gegeben wurden, sowie etwa 10.000 weitere, die offenbar als Köder oder für zusätzliche Phishing-Aktivitäten verwendet wurden.

Der Detector wurde im Juli implementiert. Seitdem hat Infoblox nach eigenen Angaben mehr als 10.000 mutmaßliche Help TDS-Domains vor ihrer Bekanntgabe auf Telegram identifiziert. Sowohl die durchschnittliche als auch die mediane Vorlaufzeit betrug sieben Tage. Als die Operation erstmals zu Cloudflare Pages wechselte, waren an einem einzelnen Tag bis zu 4 % der Cloud-Kunden von Infoblox betroffen. Im September lag dieser Wert bei etwa 0,5 %, wobei ein Teil der verbleibenden Exposition falsch konfigurierten response policy zones zugeschrieben wurde. Diese Prozentangaben beziehen sich auf Kunden von Infoblox und nicht allgemein auf Internetnutzer.

Die Betreiber versuchen, direkte Untersuchungen durch die Anzeige von Köderseiten zu erschweren. Eine Domain zeigte eine themenfremde Werbung, bevor sie später im C2-Kanal erschien. Ein anderer Köder gab sich in einer Werbung für eine gefälschte Finanzanwendung als Ledger aus. Domains wurden außerdem wiederverwendet. linen-thorn-wild[.]pages[.]dev erschien erstmals am 4. August im DNS, wurde am 6. August erkannt und zehn Tage später bekannt gegeben. Am 10. September kehrte die Domain mit anderen Cloudflare-Nameservern zurück und wurde am 20. September erneut bekannt gegeben. Infoblox konnte nicht feststellen, ob solche Wiederholungen zufällige Namenskollisionen sind oder dem Versuch dienen, Domains bereits vor ihrer schädlichen Nutzung zu etablieren.

Eine separate Route verwendet einen CNAME, einen DNS record, der einen Hostname einem anderen zuordnet. Die Affiliate-Domain fosetya[.]shop verwies auf das von Hotejka kontrollierte hotcname[.]help. Am 21. September leitete die geparkte Domain lib1[.]biz einen Besuch durch mehrere Werbesysteme, bevor er die Betrugsseite erreichte. Eine Plattform verkaufte den Klick dabei für 0,065 US-Dollar an Hotejka. hotcname[.]help hat im Verlauf eines Jahres etwa 20 Internetadressen genutzt, zuletzt 91.196.33[.]144. Unter dieser Adresse wurden außerdem usa.on1xvpn[.]com und usa.on1xvpn[.]ru gehostet, offenbar Endpoints des russischsprachigen VPN-Dienstes On1x. Infoblox zufolge bleibt unklar, ob eine weitergehende Verbindung zwischen diesem VPN und Hotejka besteht.

Über das Affiliate-Panel können Website-Betreiber schädlichen Code mithilfe eines WordPress theme editor, eines Plugin oder eines custom HTML block einfügen. Dieser Code ruft die jeweils aktuelle C2-Domain von Telegram oder pinkfels[.]shop ab, aktualisiert das zwischengespeicherte Ergebnis alle 30 Sekunden, fügt die Kennung des Affiliates hinzu und zeigt entweder ein gefälschtes CAPTCHA oder einen gefälschten Aktualisierungsköder an.