Fraudecampagne Help TDS misbruikt gratis webhosting voor oplichting via nephelpdesks

Infoblox Threat Intel brengt de langdurige operatie in verband met Russischtalig affiliateprogramma Hotejka en detecteerde meer dan 16.000 domeinen voordat deze werden ingezet.

Onderzoekers van Infoblox hebben meer dan 16.000 domeinen ontdekt die onderdeel waren van een grootschalige oplichtingscampagne, nog voordat deze actief werden ingezet. De domeinen maken deel uit van Help TDS, een operatie waarbij internetgebruikers via websites en advertenties naar frauduleuze helpdesks worden geleid. Daar proberen oplichters slachtoffers over te halen om software te installeren waarmee ze toegang krijgen tot hun computer. Volgens Infoblox zit het Russischtalige affiliateprogramma Hotejka achter Help TDS. Hotejka is waarschijnlijk een voortzetting van ROI777 onder een nieuwe naam. De operatie is al sinds april 2017 actief.

Een traffic distribution system (TDS) leidt websitebezoekers naar verschillende bestemmingen op basis van bijvoorbeeld hun locatie of apparaat. Help TDS leidt bezoekers via gehackte websites, malafide advertenties, sociale media en spamberichten naar frauduleuze helpdesks. Opvallend is dat deze campagne in verschillende vormen al jarenlang bestaat.

Onderzoekers van Infoblox brachten in juni 2026 de werkwijze van de oplichters in kaart. Hun onderzoek leidde naar een callcenter, waar een zogenaamde helpdeskmedewerker hen eerst hielp een browserblokkade op te heffen. Vervolgens verwees de medewerker hen naar UltraViewer, software waarmee iemand op afstand toegang kan krijgen tot een computer. Als de onderzoekers deze software hadden geïnstalleerd en toegang hadden verleend, hadden de oplichters hun computer kunnen overnemen.

Renée Burton, VP Infoblox Threat Intel, zegt: “Bij oplichting via nephelpdesks denken mensen vaak aan het verkopen van overbodige antivirussoftware of het stelen van creditcardgegevens. Tegenwoordig gaat het echter om geavanceerde vormen van social engineering, waarbij cybercriminelen volledige toegang tot apparaten proberen te krijgen. Daarmee kunnen ze slachtoffers ook lang na het eerste telefoongesprek blijven oplichten.”

Sinds april 2026 maakt Hotejka gebruik van Cloudflare Pages om dagelijks honderden webpagina’s aan te maken. Infoblox Threat Intel detecteerde in zes maanden tijd meer dan 20.000 gerelateerde domeinen, naast 10.000 pagina’s die vermoedelijk werden gebruikt voor phishing of als afleidingsmanoeuvre. De onderzoekers kunnen de domeinen inmiddels gemiddeld ongeveer zeven dagen voordat ze worden ingezet identificeren. Het aandeel cloudklanten van Infoblox dat met deze dreiging in aanraking kwam, daalde van maximaal 4 procent op één dag naar minder dan 0,5 procent in september.

————–

Over Infoblox Threat Intel
Infoblox Threat Intel is de leidende leverancier van originele DNS-dreigingsinformatie en onderscheidt zich daarmee in een zee van aggregators. Wat maakt ons uniek? Twee dingen: diepgaande DNS-expertise en ongeëvenaard inzicht. DNS staat erom bekend dat het lastig te interpreteren en te doorzoeken is, maar dankzij ons diepgaande begrip en onze unieke toegang tot de interne werking van het internet kunnen we dreigingsactoren opsporen die voor anderen onzichtbaar blijven.

We zijn proactief, niet alleen defensief, en gebruiken onze inzichten om cybercriminaliteit bij de bron te verstoren. We geloven ook in het delen van kennis om de bredere beveiligingsgemeenschap te ondersteunen door gedetailleerd onderzoek te publiceren en indicatoren op GitHub vrij te geven. Bovendien is onze informatie naadloos geïntegreerd in onze Infoblox DNS Detection and Response-oplossingen, zodat klanten automatisch van de voordelen profiteren, in combinatie met uitzonderlijk lage percentages false positives.

Over Infoblox
Infoblox is een leidend platform voor preventieve beveiliging en hybride multicloudnetwerken en biedt bedrijven veerkracht en flexibiliteit. Meer dan 5.700 klanten, waaronder het merendeel van de Fortune 100-bedrijven en opkomende innovators, vertrouwen op ons. Wij integreren, beveiligen en automatiseren kritieke netwerkdiensten naadloos, zodat bedrijven snel kunnen handelen zonder concessies te doen. Bezoek Infoblox.com of volg ons op LinkedIn.