TDS Hotejka Reinkarnation von ROI777 führt technische Unterstützung Betrug

Sicherheitsforscher haben eine Verkehrsdetrusions-Infrastruktur (TDS) identifiziert, die seit Jahren Besucher auf "technische Unterstützung" Telefonbetrügereien und andere Betrügereien leitet. Die Ergebnisse ordnen die Operation einem System namens Hotejka zu, das als Reinkarnation des früheren ROI777 gemeldet wird.. Die Signaturen, die Daten veröffentlichten - einschließlich Infoblox und GoDaddy, und historische Analyse von Guardicore (jetzt Teil von Akamai) - beschreiben eine Kette, die von engagierten Websites beginnt und auf betrügerischen Seiten endet, die Benutzer dazu bewegen, die Fernbedienung ihrer Geräte zu liefern oder für fiktive Dienste zu bezahlen.

Die von der Forschung bestätigten Fakten: Die TDS, identifiziert als Help TDS, arbeitet seit mindestens 2017; verwendet PHP-Vorlagen und HTML-Blöcke in Websites (mit besonderer Vorliebe von WordPress) injiziert; und filtert und routs Besucher mit Browser-Fingerprinting-Techniken und geographische Segmentierung. GoDaddy dokumentiert die Verwendung eines schädlichen WordPress-Plugin namens "Woocommerce _ Eingänge", die in Tausenden von Websites installiert wurde, um Anmeldeinformationen zu stehlen und dienen Umleitungen zu Domänen gesteuert durch die Angreifer. Letzte Ziele umfassen Browser-Blocking-Seiten, die Microsoft-Benachrichtigungen und Telefonnummern für angebliche technische Hilfe imitieren; durch Aufruf nutzen Betreiber Social Engineering, um die Installation von Remote Access-Tools wie UltraViewer zu erreichen.

Technisch handelt das TDS als Verkehrsrouter: es erfasst Besucher aus mehreren Quellen - engagierte Websites, schädliche Anzeigen, Spam- oder Social-Network-Links -, bewertet sie mit Regeln (IP, Land, Benutzer Agent, automatisierte Browser-Erkennung) und entscheidet über die "beste" Route: eine technische Unterstützung Betrug, Adware / Spyware-Installer, eine Landung für missbräuchliche Abonnements oder mehr Verkehr Weiterverkauf zu anderen angeschlossenen Programmen. Ein Teil der gemeldeten Infrastruktur wird auf Plattformen gehostet, die die Fortsetzung von Kampagnen erleichtern, wie Keitaro, ein legitimes Produkt, das von kriminellen Akteuren für die Durchführung und Rotation von Zielen missbraucht wurde ( keitaro.io)

Forscher haben auch die historische Kontinuität dokumentiert: Guardicore verfolgte im Jahr 2018 eine Operation namens Operation Prowli verbunden mit ROI777, in der verletzliche Server für Kryptomoneda Bergbau und Monetarisierung Verkehr engagiert wurden. Historische Daten zeigen, dass mit ROI777 verbundene Domänen als Befehls- und Steuerserver zur Erfassung von Umleitungs-URL-Listen zwischen 2018 und 2020 verwendet wurden, was die Verbindung zwischen dieser Operation und der aktuellen Hotejka unterstützt. Die ursprüngliche Guardicore-Analyse über Operation Prowli ist für den technischen und chronologischen Kontext verfügbar ( Guardicore - Operation Prowli)

Welche Risiken dies für Nutzer und Betreiber von Websites mit sich bringt. Für einen Besucher: Ein fallen in einen technischen Support Betrug kann zur Installation von Remote Access Software, Verlust von Anmeldeinformationen, Diebstahl von Finanzdaten und kontinuierlichen Zugriff durch den Angreifer führen. Für einen Web-Administrator: Ein injiziertes Plugin oder HTML-Block führt nicht nur zu Betrug, sondern erleichtert auch den Diebstahl von Konten, die Beharrlichkeit des Angreifers auf der Website und den beschädigten Ruf der Domain (DNS-schwarze Listen, legitimer Verkehrsverlust, Sanktionen von Unterkunftsanbietern).

Die Operation hat sich laut Berichten auch in ihrer Taktik entwickelt, um Reibung zu minimieren: seit 2026 wurden Einweg-Seiten in Dienstleistungen wie Cloudflare Pages verwendet, um Tausende von Umleitungsdomänen schnell zu hosten - mehr als 20.000 seit April 2026 erkannte Seiten und eine geschätzte Erstellung von rund 300 Seiten täglich - was die einfache Domänenliste erschwert. (Allgemeine Informationen zu Cloudflare Seiten in entwickelt.

Angaben, Schätzungen und Zweifel. Bestätigt: die Existenz der TDS, die WordPress-Injektionstechnik durch das "Woocommerce _ inputs"-Plugin, die Verwendung von Fingerabdruck und die Lieferung von technischen Support-Scams, die in Anrufen und Remote Access enden. Informierte Schätzung: dass die beiden Plattformen (Hotejka / ROI777) "mindestens mehrere Millionen Dollar" mit ihren Affiliate auf Basis von DNS-Volumen und typischen Zahlungspraktiken in der Industrie generiert haben; dies kommt aus Datenkorrelation statt öffentlichen Rechnungslegungszahlen. Noch unsicher: die wirkliche Identität der Betreiber, ihre genaue Organisationsstruktur und in welchem Maße die Call-Center entfernt liegen oder eingesetzt werden; Beweispunkte für eine transnationale Operation mit unterschiedlichen Tochtergesellschaften, aber die vollständige Rückverfolgbarkeit erfordert noch zusätzliche rechtliche und forensische Maßnahmen.

Welche konkreten Maßnahmen sollten die Leser ergreifen?

Wenn Sie WordPress-Websites oder irgendwelche CMS verwalten: Überprüfen Sie die Liste der installierten Plugins und entfernen Sie alle unbekannten oder unified Eingaben; ändern Sie Benutzerkennwörter mit Privilegien (und aktivieren Sie Multifaktor-Authentifizierung, wann immer möglich); installieren Sie Scan- und Verriegelungslösungen (z.B. Wordfence, Sucuri), um nach ungewöhnlichen Datenbankdateien oder Einträgen zu suchen; überprüfen Sie Zugriffsdaten und geplante Aufgaben (cron) um Injektionen zu erkennen; und starten Sie von sauberen, wenn Sie Verpflichtungen. Es blockiert PHP-Dateibearbeitung von der WordPress-Panel und begrenzt Zugriff auf wp-admin von IP, wenn möglich.

Wenn Sie ein Endbenutzer sind und Sie ein Browser-Schlösser mit Telefonnummer haben- Ja. Ruf nicht an. Löschen Sie Cache und Cookies und starten Sie das System neu. Wenn Sie aufgefordert werden, ein Remote-Access-Tool zu installieren, betrachten Sie dies ein klares Betrügerei-Kriterium, es sei denn, die Installation wird durch eine geprüfte Unterstützung angefordert, mit der Sie über offizielle Kanäle kontaktiert haben. Wenn Sie glauben, dass Sie bereits einen Remote-Zugriff von Drittanbietern gegeben haben, trennen Sie das Netzwerkgerät, ändern Sie Passwörter von einem anderen Gerät und kontaktieren Sie Ihre Bank, wenn Sie Finanzdaten teilen.

Für IT-Unternehmen und Lieferanten: DNS-Filterung und Blockierung von schädlichen Domänen aus dem Unternehmensnetzwerk, Überwachung ungewöhnlicher Anfragen an massengeschaffene Tracking-Dienste und statische Seiten und Analyse webbasierter Fingerabdruckmuster. Betrachten Sie die Implementierung von Anomalie-Erkennungs- und Ruflösungen für URLs und koordinieren Sie mit Hosting-Anbietern, um gefährdete Websites in Ihrer Kundenbasis zu beheben.

Die Komplexität des Ökosystems - TDS, Affiliate, Einweg-Seiten und missbrauchte legitime Werkzeuge - macht diese Kampagnen widerstandsfähig für bestimmte Schließungen. Die beste Verteidigung kombiniert Grundhygiene in der Software, kontinuierliche Überwachung und Benutzererziehung, um zu verhindern, dass ein Browser Schließung dauerhaften Zugriff und Finanzbetrug.