TDS Hotejka reencarnación de ROI777 dirige estafas de soporte técnico

Investigadores de seguridad han identificado una infraestructura de distrubución de tráfico (TDS) usada durante años para canalizar visitantes hacia estafas telefónicas de “soporte técnico” y otros fraudes. Los hallazgos atribuyen la operación a un esquema denominado Hotejka, que según los informes es una reencarnación del antiguo ROI777. Las firmas que publicaron datos —entre ellas Infoblox y GoDaddy, y análisis históricos de Guardicore (ahora parte de Akamai)— describen una cadena que parte de sitios web comprometidos y termina en páginas fraudulentas que persuaden a usuarios para que entreguen control remoto de sus equipos o paguen servicios ficticios.

Hechos confirmados por las investigaciones: la TDS, identificada como Help TDS, opera desde al menos 2017; utiliza plantillas PHP y bloques HTML inyectados en sitios web (con especial predilección por WordPress); y filtra y enrutaa visitantes usando técnicas de fingerprinting del navegador y segmentación geográfica. GoDaddy documentó el uso de un plugin malicioso para WordPress llamado "woocommerce_inputs" que se instaló en miles de sitios para robar credenciales y servir redirecciones a dominios controlados por los atacantes. Los destinos finales incluyen páginas de bloqueo de navegador que imitan alertas de Microsoft y números de teléfono para supuesta asistencia técnica; al llamar, los operadores usan ingeniería social para lograr la instalación de herramientas de acceso remoto como Ultraviewer.

Técnicamente, la TDS actúa como un enrutador de tráfico: captura visitantes provenientes de múltiples fuentes —sitios web comprometidos, anuncios maliciosos, spam o enlaces en redes sociales—, los evalúa con reglas (IP, país, agente de usuario, detección de navegadores automatizados) y decide la “mejor” ruta: una estafa de soporte técnico, un instalador de adware/spyware, un landing para suscripciones abusivas o más reventa de tráfico a otros programas afiliados. Parte de la infraestructura reportada se hospeda sobre plataformas que facilitan el seguimiento de campañas, como Keitaro, un producto legítimo que ha sido abusado por actores delictivos para el rendimiento y la rotación de destinos (keitaro.io).

Los investigadores también han documentado continuidad histórica: Guardicore rastreó en 2018 una operación llamada Operation Prowli vinculada a ROI777, en la que servidores vulnerables fueron comprometidos para minado de criptomonedas y para monetizar tráfico. Datos históricos muestran que dominios asociados a ROI777 se usaron como servidores de comando y control para recoger listas de URLs de redirección entre 2018 y 2020, lo que respalda el vínculo entre aquella operación y la actual Hotejka. Puede consultarse el análisis original de Guardicore sobre Operation Prowli para contexto técnico y cronológico (Guardicore - Operation Prowli).

Qué riesgos reales implica esto para usuarios y operadores de sitios web. Para un visitante: caer en una estafa de soporte técnico puede derivar en la instalación de software de acceso remoto, pérdida de credenciales, robo de datos financieros y acceso continuo por parte del atacante. Para un administrador web: un plugin o bloque HTML inyectado no sólo deriva tráfico a fraudes sino que también facilita el robo de cuentas administrador, la persistencia del atacante en el sitio, y la reputación dañada del dominio (listas negras DNS, pérdida de tráfico legítimo, sanciones de proveedores de alojamiento).

La operación, según los reportes, también ha evolucionado en sus tácticas para minimizar fricción: desde 2026 se han usado páginas desechables en servicios como Cloudflare Pages para alojar miles de dominios de redirección rápidamente —más de 20.000 páginas detectadas desde abril de 2026 y una creación estimada de unas 300 páginas diarias— lo que complica el bloqueo por sencillo listado de dominios. (Información general sobre Cloudflare Pages en developers.cloudflare.com/pages.)

Distinguiendo hechos, estimaciones y dudas. Confirmado: la existencia de la TDS, la técnica de inyección en WordPress mediante el plugin "woocommerce_inputs", el uso de fingerprinting y la entrega de estafas de soporte técnico que terminan en llamadas y acceso remoto. Estimación informada: que las dos plataformas (Hotejka/ROI777) hayan generado “al menos varios millones de dólares” con sus afiliados basada en volúmenes DNS y prácticas de pago típicas en la industria; esto proviene de la correlación de datos y no de cifras contables públicas. Aún incierto: la identidad real de los operadores, su estructura organizativa exacta, y hasta qué punto los centros de llamadas están localizados o desplegados de forma remota; las evidencias apuntan a una operación transnacional con afiliados variados, pero la trazabilidad completa todavía requiere acción legal y forense adicional.

Qué medidas concretas deben tomar los lectores

Si administras sitios WordPress o cualquier CMS: revisa la lista de plugins instalados y elimina cualquier entrada desconocida o no verificada; cambia las contraseñas de usuarios con privilegios (y activa autenticación multifactor siempre que sea posible); instala soluciones de escaneo y bloqueo (p. ej., Wordfence, Sucuri) para buscar archivos o entradas de base de datos inusuales; revisa los registros de acceso y las tareas programadas (cron) para detectar inyecciones; y restaura desde backups limpios si detectas compromisos. Bloquea la edición de archivos PHP desde el panel de WordPress y limita el acceso a wp-admin por IP cuando sea viable.

Si eres usuario final y te aparece un bloqueo de navegador con número de teléfono: no llames. Fuerza el cierre del navegador (o el proceso desde el administrador de tareas), borra caché y cookies, y reinicia el sistema. Si se te pide instalar una herramienta de acceso remoto, considera que esto es un criterio claro de fraude salvo que la instalación sea solicitada por un soporte verificado al que hayas contactado por canales oficiales. Si crees que ya diste acceso remoto a un tercero, desconecta el dispositivo de la red, cambia contraseñas desde un dispositivo diferentey contacta a tu banco si compartiste datos financieros.

Para empresas y proveedores de TI: habiliten filtrado DNS y bloqueo de dominios maliciosos desde la red corporativa, monitoricen solicitudes inusuales a servicios de tracking y páginas estáticas creadas en masa, y analicen patrones de fingerprinting en logs web. Considere implantar soluciones de detección de anomalías y reputación de URLs, y coordinar con proveedores de hosting para remediar sitios comprometidos en su base de clientes.

La complejidad del ecosistema —TDS, afiliados, páginas desechables y herramientas legítimas abusadas— hace que estas campañas sean resilientes frente a cierres puntuales. La mejor defensa combina higiene básica en software, monitoreo continuo y educación al usuario para evitar que un cierre de navegador se convierta en acceso permanente y fraude financiero.