TDS Hotejka reencarnação de ROI777 dirige fraudes de suporte técnico

Pesquisadores de segurança identificaram uma infraestrutura de distrubução de tráfego (TDS) usada durante anos para canalizar visitantes para fraudes telefônicas de “soporte técnico” e outras fraudes. Os achados atribuem a operação a um esquema chamado Hotejka, que segundo os relatórios é uma reencarnação do antigo ROI777. As assinaturas que publicaram dados - entre elas Infoblox e GoDaddy, e análise histórica de Guardicore (agora parte de Akamai) - descrevem uma cadeia que parte de sites comprometidos e termina em páginas fraudulentas que persuadem usuários para que entreguem controle remoto de suas equipes ou paguem serviços fictícios.

Atos confirmados pelas pesquisas: a TDS, identificada como Help TDS, opera desde pelo menos 2017; usa modelos PHP e blocos HTML injetados em sites (com especial pré-dilecção pelo WordPress); e filtra e enrutaa visitantes usando técnicas de fingerprinting do navegador e segmentação geográfica. A GoDaddy documentou o uso de um plugin malicioso para WordPress chamado "woocommerce_inputs" que foi instalado em milhares de sites para roubar credenciais e servir redireções para domínios controlados pelos atacantes. Os destinos finais incluem páginas de bloqueio de navegador que imitam alertas da Microsoft e números de telefone para suposta assistência técnica; ao chamar, os operadores usam engenharia social para conseguir a instalação de ferramentas de acesso remoto como Ultraviewer.

Tecnicamente, a TDS atua como um roteador de tráfego: captura visitantes provenientes de múltiplas fontes —itios web comprometidos, anúncios maliciosos, spam ou links em redes sociais — avaliando com regras (IP, país, agente de usuário, detecção de navegadores automatizados) e decide a “melhor” rota: um burla de suporte técnico, um instalador de adware/spyware, um landing para assinaturas abusivas ou mais revenda de tráfego a outros programas afiliados. Parte da infraestrutura relatada é hospedada em plataformas que facilitam o seguimento de campanhas, como Keitaro, um produto legítimo que foi abusado por atores criminosos para o desempenho e rotatividade de destinos ( keitaro.io).

Os pesquisadores também documentaram continuidade histórica: Guardicore rastreou em 2018 uma operação chamada Operation Prowli vinculada à ROI777, na qual servidores vulneráveis foram comprometidos para minado de criptomoedas e para monetizar tráfego. Dados históricos mostram que domínios associados à ROI777 foram usados como servidores de comando e controle para coletar listas de URLs de redireccionamento entre 2018 e 2020, o que suporta o vínculo entre aquela operação e a atual Hotejka. A análise original de Guardicore sobre Operation Prowli pode ser consultada para contexto técnico e cronológico ( Guardicore - Operation Prowli).

Quais os riscos reais para usuários e operadores de sites. Para um visitante: cair em um bode de suporte técnico pode derivar na instalação de software de acesso remoto, perda de credenciais, roubo de dados financeiros e acesso contínuo por parte do atacante. Para um administrador Web: um plugin ou bloco HTML injetado não só deriva tráfico de fraudes, mas também facilita o roubo de contas administrador, a persistência do atacante no site, e a reputação danificada do domínio (listas negras DNS, perda de tráfego legítimo, sanções de fornecedores de alojamento).

A operação, segundo os relatórios, também evoluiu em suas táticas para minimizar fricção: desde 2026, foram usadas páginas descartáveis em serviços como Cloudflare Pages para alojar milhares de domínios de redireccionamento rapidamente — mais de 20.000 páginas detectadas desde abril de 2026 e uma criação estimada de 300 páginas diárias — o que complica o bloqueio por simples listagem de domínios. (Informação geral sobre Cloudflare Pages em developers.cloudflare.com/pages.)

Distinguindo fatos, estimativas e dúvidas. Confirmado: a existência da TDS, a técnica de injeção no WordPress através do plugin "woocommerce_inputs", o uso de fingerprinting e a entrega de fraudes de suporte técnico que terminam em chamadas e acesso remoto. Estimativa informada: que as duas plataformas (Hotejka/ROI777) geraram “pelo menos vários milhões de dólares” com seus afiliados baseados em volumes DNS e práticas de pagamento típicas na indústria; isto vem da correlação de dados e não de números contabilísticos públicos. Ainda incerto: a identidade real dos operadores, a sua estrutura organizacional exata, e até que ponto os centros de chamadas estão localizados ou implantados de forma remota; as evidências apontam para uma operação transnacional com afiliados variados, mas a rastreabilidade completa ainda requer ação legal e forense adicional.

Que medidas concretas devem tomar os leitores

Se você administra sites WordPress ou qualquer CMS: revisa a lista de plugins instalados e remove qualquer item desconhecido ou não verificado; muda as senhas de usuários com privilégios (e activa autenticação multifator sempre que possível); instala soluções de digitalização e bloqueio (por exemplo, Wordfence, Sucuri) para procurar arquivos ou entradas de base de dados invulgares; revisa os registros de acesso e as tarefas programadas (cron) para detectar injeções; e restaura desde backups limpos se detectar compromissos. Bloqueia a edição de arquivos PHP do painel WordPress e limita o acesso a wp-admin por IP quando viável.

Se você é usuário final e aparece um bloqueio de navegador com número de telefone- Não chame. Força o fechamento do navegador (ou o processo do administrador de tarefas), apaga cache e cookies, e reinicia o sistema. Se você for solicitado a instalar uma ferramenta de acesso remoto, considera que isto é um critério claro de fraude, salvo se a instalação for solicitada por um suporte verificado ao qual você tenha contatado por canais oficiais. Se você acha que você já deu acesso remoto a um terceiro, desliga o dispositivo da rede, muda senhas de um dispositivo diferente e contacta o seu banco se você compartilhar dados financeiros.

Para empresas e fornecedores de TI: habilitem filtragem DNS e bloqueio de domínios maliciosos a partir da rede corporativa, monitorizem pedidos incomuns a serviços de tracking e páginas estáticas criadas em massa, e analisem padrões de fingerprinting em logs web. Considere implantar soluções de detecção de anomalias e reputação de URLs, e coordenar com fornecedores de hospedagem para corrigir sites comprometidos em sua base de clientes.

A complexidade do ecossistema — TDS, afiliados, páginas descartáveis e ferramentas legítimas abusadas — torna estas campanhas resilientes contra fechamentos pontuais. A melhor defesa combina higiene básica em software, monitoramento contínuo e educação ao usuário para evitar que um fechamento de navegador se torne acesso permanente e fraude financeira.