Een fraudecampagne die sinds 2017 actief is, stuurt internetgebruikers via gehackte websites, advertenties en sociale media naar nephelpdesks. Dat blijkt uit onderzoek van Infoblox Threat Intel. De groep achter de operatie gebruikt sinds april 2026 Cloudflare Pages om dagelijks honderden webpagina’s aan te maken.
De operatie heet Help TDS. Infoblox brengt haar in verband met het Russischtalige affiliateprogramma Hotejka. Volgens de onderzoekers is Hotejka waarschijnlijk een voortzetting van het eerdere programma ROI777 onder een nieuwe naam. De campagne is sinds april 2017 in verschillende vormen actief. Partners die bezoekers naar de frauduleuze websites doorsturen, kunnen daarvoor tot 100 dollar ontvangen.
Hoe het traffic distribution system werkt
Een traffic distribution system (TDS) stuurt websitebezoekers naar verschillende bestemmingen op basis van kenmerken zoals hun locatie of apparaat. Help TDS gebruikt gehackte websites, malafide advertenties, sociale media en spamberichten om bezoekers naar frauduleuze helpdeskpagina’s te leiden.
Op die pagina’s krijgen slachtoffers valse beveiligingsmeldingen van Microsoft te zien. Daarbij klinken luide alarmgeluiden en lijkt de browser geblokkeerd. Zo proberen de oplichters slachtoffers onder druk te zetten om een telefoonnummer van een zogenaamde helpdesk te bellen. Daar volgt de poging om het slachtoffer software te laten installeren waarmee de oplichters toegang krijgen tot de computer.
Onderzoekers aan de lijn bij het callcenter
In juni 2026 brachten de onderzoekers van Infoblox de werkwijze zelf in kaart. Hun onderzoek leidde naar een callcenter, waar een zogenaamde helpdeskmedewerker hen eerst hielp een browserblokkade op te heffen. Daarna verwees de medewerker hen naar UltraViewer, software voor toegang op afstand. Als de onderzoekers die software hadden geïnstalleerd en toegang hadden verleend, hadden de oplichters de computer kunnen overnemen.
Renée Burton, VP Infoblox Threat Intel, stelt dat mensen bij oplichting via nephelpdesks vaak denken aan de verkoop van overbodige antivirussoftware of het stelen van creditcardgegevens. Volgens Burton draait het tegenwoordig om social engineering waarbij criminelen volledige toegang tot apparaten proberen te krijgen. Daarmee kunnen ze slachtoffers ook lang na het eerste telefoongesprek blijven oplichten.
Duizenden domeinen via Cloudflare Pages
Sinds april 2026 maakt Hotejka gebruik van Cloudflare Pages, een gratis webhostingdienst, om dagelijks honderden webpagina’s aan te maken. Infoblox meldt dat het in zes maanden tijd meer dan 20.000 gerelateerde domeinen heeft gedetecteerd. Daarnaast vonden de onderzoekers 10.000 pagina’s die vermoedelijk werden gebruikt voor phishing of als afleiding.
Volgens Infoblox kon het meer dan 16.000 van die domeinen identificeren voordat ze actief werden ingezet. Het bedrijf geeft aan dat zijn onderzoekers de domeinen inmiddels gemiddeld ongeveer zeven dagen voor inzet herkennen. De details staan beschreven in het onderzoek Inside Help TDS: Hotejka, Cloudflare Pages and predictive detection.
Infoblox meldt verder dat het aandeel van zijn cloudklanten dat met deze dreiging in aanraking kwam, is gedaald. Op het hoogtepunt ging het om maximaal 4 procent op één dag, in september lag dat aandeel onder de 0,5 procent. Het gaat hierbij om cijfers over de eigen klantenbasis van Infoblox.
Aandachtspunten voor beheer
De campagne steunt op twee elementen: misbruik van legitieme hostingdiensten en het overhalen van gebruikers om tools voor toegang op afstand te installeren. Omdat de pagina’s op een bekend platform als Cloudflare Pages draaien, valt het verkeer minder snel op dan bij verdachte domeinen. Voor beheerders ligt het voor de hand om de installatie van remote-accesstools zoals UltraViewer op beheerde endpoints te beperken en gebruikers te wijzen op valse beveiligingsmeldingen in de browser.
Het volledige rapport is te lezen via Inside Help TDS: Hotejka, Cloudflare Pages and predictive detection.
