Мошенническая страница ещё не успела заманить жертву, а адрес уже неделю числится опасным. Infoblox выяснила, как заранее находить инфраструктуру Help TDS, которая через Cloudflare Pages ведёт пользователей к поддельной техподдержке. К середине сентября система выявила более 16 тыс. доменов, позже использованных оператором.
Help TDS работает как система распределения трафика и действует как минимум с 2017 года. Infoblox с высокой уверенностью связывает нынешнюю инфраструктуру с партнёрской программой Hotejka, которую считает продолжением ROI777. Партнёры приводят посетителей со взломанных сайтов, из вредоносной рекламы, спама и соцсетей, после чего TDS проверяет браузер и местоположение и выбирает сценарий.
Основная приманка имитирует системное предупреждение. Сначала страница требует обновление, затем сообщает о якобы заблокированном Microsoft компьютере, включает громкие сигналы и мешает закрыть окно браузера. На экране появляется номер «Microsoft Security». Во время контролируемого звонка Infoblox получила инструкцию установить UltraViewer, который дал бы оператору полный удалённый доступ к тестовой машине.
С апреля 2026 года оператор массово использует бесплатные адреса pages[.]dev. По наблюдениям Infoblox, канал управления публикует почти 300 новых Cloudflare Pages в сутки, тогда как весь сервис создаёт свыше 125 тыс. новых поддоменов ежедневно. За полгода компания выявила около 30 тыс. связанных страниц. Примерно 16 тыс. позднее появились в канале Help TDS, остальные могли служить приманками или вспомогательной инфраструктурой.
Чтобы отделить сотни вредоносных адресов от общего потока, аналитики разобрали алгоритмы генерации доменных имён. За шесть месяцев оператор сменил около дюжины схем именования. Новые детекторы находят будущие узлы в среднем за семь дней до публикации. После запуска механизма доля клиентов облачной защиты Infoblox, сталкивавшихся с Help TDS, снизилась с пиковых 4% в день до примерно 0,5% в сентябре.
Предыдущие версии Help TDS уже использовали вредоносный WordPress-плагин, динамические C2-адреса и перенаправления с заражённых сайтов. Новое расследование дополняет картину доступом к партнёрской панели Hotejka. Панель содержит тот же плагин и новые приманки, а DNS-данные и повторяющиеся элементы инфраструктуры позволили Infoblox связать Hotejka с Help TDS с высокой уверенностью.
Оператор продолжает менять инфраструктуру, поэтому прогнозирование не сводится к статическому списку адресов. Infoblox не раскрывает признаки, по которым модель выделяет будущие домены, чтобы не облегчать обход защиты. Hotejka также анонсировала схему с принудительной установкой браузерного расширения, но на момент публикации механизм не показан. Пока речь идёт о заявленном будущем сценарии, а не о подтверждённой атаке.