Il DNS detection individua i domini truffaldini di Help TDS con una settimana di anticipo

Infoblox afferma che il suo DNS detection ora identifica i domini collegati a Help TDS circa sette giorni prima che l'operazione truffaldina li utilizzi. Il DNS, o Domain Name System, è il sistema di ricerca che collega i nomi dei siti web alle destinazioni Internet. L'azienda attribuisce Help TDS a Hotejka, un piccolo programma di affiliazione in lingua russa che ritiene essere un rebrand di ROI777, un'operazione attiva almeno dall'aprile 2017.

Help TDS è un traffic distribution system, o TDS, che decide dove indirizzare i visitatori dei siti web. Gli affiliati ottengono da Hotejka link appositamente costruiti e vi convogliano traffico proveniente da siti web compromessi, pubblicità malevole, social media e spam. Il sistema utilizza il browser fingerprinting, che valuta le caratteristiche del browser e del dispositivo di un visitatore, insieme ai dati sulla sua posizione. I visitatori selezionati vedono un falso avviso di aggiornamento, seguito da avvertimenti a schermo intero secondo cui Microsoft avrebbe disabilitato il computer. Forti allarmi, una voce registrata e una pagina del browser difficile da chiudere indirizzano la vittima verso un presunto numero dell'assistenza.

Nel giugno 2026 Infoblox ha chiamato uno di questi numeri da un computer usato per la ricerca. L'operatore ha affermato di rappresentare Microsoft Technical Support, ha chiesto se il dispositivo fosse personale o utilizzato per lavoro e ha ripetuto più volte che non ci sarebbe stato alcun costo. Dopo aver spiegato come uscire dalla pagina che impediva la normale navigazione, l'operatore ha detto al ricercatore di visitare ultraviewer[.]net e installare UltraViewer. Si tratta di remote desktop software, uno strumento che consente a un'altra persona di controllare un computer tramite Internet. La chiamata è terminata dopo che il ricercatore ha chiesto perché fosse necessario altro software quando Windows Defender era già installato. Infoblox afferma che si tratta di qualcosa di più di uno stratagemma per sottrarre dati delle carte di pagamento, perché il remote access potrebbe consentire intrusioni ripetute, furto di informazioni ed estorsione.

L'attribuzione a Hotejka si basa su dati DNS storici, infrastruttura di command and control e identificatori degli affiliati utilizzati da lungo tempo. Il command and control, abbreviato in C2, è l'infrastruttura usata per distribuire istruzioni o destinazioni correnti. In origine ROI777 utilizzava roi777[.]com per il C2 e gestiva un sistema di routing basato su Keitaro presso King Servers. Nel 2018 i ricercatori documentarono i suoi redirect malevoli e i dati prelevati dai server di ROI777 mostrarono identità Telegram, informazioni sulle campagne e traffico inviato a un'altra piattaforma europea di affiliazione. GoDaddy chiamò la precedente operazione Disposable TDS perché si affidava a domini del registrar Freenom, oggi non più attivo.

Infoblox ha inoltre collegato le operazioni tramite 162.244.35[.]33. L'indirizzo ha ospitato roi777[.]com fino a metà marzo 2022, mentre hotejka[.]com, registrato nel novembre 2019, è apparso come suo PTR record dall'inizio del 2020. Un PTR record è una voce di reverse DNS che associa un indirizzo Internet a un nome ed è impostata da chi controlla tale indirizzo. I canali di Hotejka hanno iniziato ad apparire alla fine del 2019, la sua pubblicità sul web aperto era visibile entro settembre 2020 e le pagine di login di ROI777 sono scomparse dopo gennaio 2022. Infoblox ritiene quindi, con un elevato livello di certezza, che lo stesso operatore gestisca entrambe le identità.

Nel 2026 Hotejka acquista visite da circa 20 affiliati identificati, tra cui Balada Injector, Detour Dog e DollyWay. Alcuni compromettono siti WordPress, mentre altri utilizzano spam, pubblicità o piattaforme social. Nel giugno 2026 un affiliato ha utilizzato un bot Telegram chiamato Your Free AI Assistant per distribuire pubblicità che conducevano a Help TDS. I visitatori indesiderati possono anche essere rivenduti ad altri sistemi di affiliazione, dove potrebbero imbattersi in ulteriori truffe o falsi test CAPTCHA progettati per ottenere l'autorizzazione alle notifiche del browser. Nel 2025 le pubblicità di Hotejka offrivano 20 dollari per chiamata e, nel maggio 2026, 100 dollari per traffico simile, cercando vittime in Paesi tra cui Stati Uniti, Canada, Francia, Svezia, Giappone e Australia. Nel luglio 2026 Infoblox ha rilevato che Hotejka era il quarto affiliato più redditizio su una piattaforma a valle. Sulla base di otto anni di volumi DNS, identificatori degli affiliati e compensi pubblicitari comunemente citati, Infoblox sospetta che due programmi europei abbiano versato all'operazione almeno diversi milioni di dollari statunitensi, anche se questa rimane una stima.

Dall'aprile 2026 l'operazione utilizza siti Cloudflare Pages gratuiti e usa e getta sotto pages[.]dev. In genere ogni giorno compaiono più di 125.000 nuovi sottodomini pages[.]dev, mentre il canale Telegram C2 di Hotejka ne annuncia quasi 300 al giorno e aggiorna ogni cinque minuti il proprio insieme di domini attivi. Ogni dominio viene risolto nel DNS per circa una settimana. Infoblox afferma che, nell'arco di sei mesi, l'attore ha utilizzato 12 domain generation algorithms, ossia regole automatizzate per creare nomi di dominio. Ha rilevato in totale circa 30.000 domini probabilmente correlati, tra cui approssimativamente 16.000 annunciati in seguito per Help TDS e circa 10.000 altri apparentemente utilizzati come esche o per ulteriori attività di phishing.

Il detector è stato implementato a luglio. Da allora, Infoblox afferma di aver identificato più di 10.000 probabili domini di Help TDS prima che venissero annunciati su Telegram, con un anticipo sia medio sia mediano di sette giorni. L'esposizione tra i suoi clienti cloud aveva raggiunto fino al 4% in un solo giorno quando l'operazione era passata per la prima volta a Cloudflare Pages. A settembre la percentuale si attestava intorno allo 0,5%, anche se parte dell'esposizione rimanente è stata attribuita a response policy zones configurate in modo errato. Queste percentuali descrivono i clienti di Infoblox, non gli utenti Internet in generale.

Gli operatori cercano di ostacolare l'ispezione diretta mostrando pagine esca. Un dominio mostrava una pubblicità non correlata prima di apparire successivamente nel canale C2, mentre un'altra esca impersonava Ledger in una pubblicità per una falsa applicazione finanziaria. Alcuni domini sono stati anche riutilizzati. linen-thorn-wild[.]pages[.]dev è apparso per la prima volta nel DNS il 4 agosto, è stato rilevato il 6 agosto e annunciato dieci giorni dopo. È tornato con nameserver Cloudflare diversi il 10 settembre ed è stato annunciato nuovamente il 20 settembre. Infoblox non è riuscita a determinare se queste ripetizioni siano naming collisions accidentali o un tentativo di predisporre i domini prima del loro utilizzo malevolo.

Un percorso separato utilizza un CNAME, un record DNS che associa un hostname a un altro. Il dominio dell'affiliato fosetya[.]shop puntava a hotcname[.]help, controllato da Hotejka. Il 21 settembre il parked domain lib1[.]biz ha fatto passare una visita attraverso diversi sistemi pubblicitari prima che raggiungesse la truffa, con una piattaforma che ha venduto il clic a Hotejka per 0,065 dollari. hotcname[.]help ha utilizzato circa 20 indirizzi Internet nell'arco di un anno, più recentemente 91.196.33[.]144. Tale indirizzo ospitava anche usa.on1xvpn[.]com e usa.on1xvpn[.]ru, apparentemente endpoint del servizio VPN in lingua russa On1x. Infoblox afferma che qualsiasi relazione più ampia tra questa VPN e Hotejka rimane poco chiara.

Il pannello per gli affiliati consente agli operatori dei siti web di inserire codice malevolo tramite un editor dei temi di WordPress, un plugin o un blocco HTML personalizzato. Quel codice recupera il dominio C2 più recente da Telegram o pinkfels[.]shop, aggiorna ogni 30 secondi il risultato conservato in cache, aggiunge l'identificatore dell'affiliato e mostra un falso CAPTCHA oppure un falso invito all'aggiornamento.