Um sistema de distribuição de tráfego (TDS) em operação há anos, conhecido como Help TDS, está ligado ao programa de afiliados de língua russa Hotejka. Acredita-se que a Hotejka seja uma nova marca de uma operação de monetização de tráfego chamada ROI777.
Há indícios de que o Help TDS está ativo desde pelo menos 2017. O serviço oferece a parceiros e afiliados modelos de código PHP para instalação em sites comprometidos, a fim de redirecionar visitantes desavisados a golpes de suporte técnico. Esses golpes forçam o navegador a entrar em tela cheia e impedem que o usuário saia da página. Em seguida, exibem falsos alertas de segurança do Windows e orientam as vítimas a ligar para um número de suporte para resolver o suposto problema.
“O Help TDS distribui golpes de suporte técnico que direcionam os usuários a centrais de atendimento. Nelas, técnicas de engenharia social são usadas para convencê-los a instalar ferramentas de acesso remoto à área de trabalho”, afirmou a Infoblox em relatório divulgado pelo The Hacker News. “Não se trata de uma simples fraude com cartão de crédito: são operações de acesso remoto e malware que se valem de ferramentas legítimas já disponíveis no sistema. Depois de entrar, o threat actor pode explorar a vítima repetidas vezes.”
A GoDaddy documentou a evolução do Help TDS em agosto de 2025. Segundo a empresa, o threat actor usava um plugin malicioso para WordPress chamado “woocommerce_inputs” em milhares de sites para roubar credenciais de usuários da plataforma e facilitar redirecionamentos maliciosos. O plugin buscava os endereços dos sites de destino em servidores de comando e controle (C2). Os afiliados da Hotejka instalam o plugin ou, alternativamente, inserem nos sites um bloco personalizado de código HTML.
O rastreamento histórico de cadeias de redirecionamento maliciosas também revelou que o Help TDS encaminhava tráfego com frequência diretamente para a VexTrio Viper, uma operação criminosa que mantém um programa de afiliados para distribuir golpes, software de risco, spyware, adware e conteúdo pornográfico.
As descobertas mais recentes ligam o TDS à Hotejka, que, por sua vez, é suspeita de suceder a ROI777. A Guardicore Labs, hoje parte da Akamai, identificou publicamente a operação em junho de 2018 por sua participação em uma campanha de manipulação de tráfego e mineração de criptomoedas chamada Operação Prowli.
A atividade envolvia a invasão de servidores vulneráveis para instalar um malware chamado r2r2 e usá-los na mineração de criptomoedas. Ao mesmo tempo, sites WordPress e servidores que executavam outros sistemas de gerenciamento de conteúdo (CMS) eram explorados para fraudar a monetização de tráfego.
“Monetizadores de tráfego, como a ROI777, compram tráfego de ‘operadores de sites’, como os invasores da Prowli, e o redirecionam sob demanda para domínios específicos”, observou a Guardicore Labs na época. “Os operadores de sites ganham dinheiro por cada acesso encaminhado pela roi777. Os domínios de destino frequentemente hospedam diferentes tipos de golpe, como serviços falsos, extensões maliciosas para navegadores e outros.”
A mudança de marca teria sido motivada pelo vazamento, em março de 2018, de dados obtidos nos servidores da ROI777. Na época, a operação usava o Disposable TDS, antecessor do Help TDS. As informações divulgadas incluíam identidades de usuários no Telegram e detalhes de várias campanhas.
A ligação entre Hotejka e ROI777 não se limita a isso. A GoDaddy também identificou “roi777[.]com” como um dos domínios históricos de C2 usados entre 2018 e 2020 para buscar os domínios de redirecionamento.
“Os afiliados da Hotejka vão de operadores de spam a invasores de sites”, afirmou a Infoblox. “As possíveis vítimas são encaminhadas ao TDS por esses afiliados, por meio de endereços especiais fornecidos pela Hotejka. O TDS avalia o usuário com base no navegador e na localização para decidir como agir.”
Um TDS funciona como intermediário: intercepta o tráfego da internet proveniente de sites comprometidos, anúncios maliciosos, publicações em redes sociais ou spam de SEO. Em seguida, analisa os visitantes, filtra o tráfego com base em critérios predefinidos, como localização geográfica, informações do dispositivo, reputação do endereço IP e uso de navegadores sem interface gráfica, e os encaminha dinamicamente para golpes, páginas que bloqueiam o navegador ou locais de distribuição de malware.
“O Help TDS e seus antecessores são a infraestrutura de roteamento de uma pequena rede de afiliados”, explicou a Infoblox. “Outros threat actors, como os que invadem sites, enviam o tráfego de possíveis vítimas ao TDS por meio de endereços especialmente preparados.”
Acredita-se que o TDS seja implementado na Keitaro, uma plataforma de rastreamento do desempenho de anúncios que diversos threat actors costumam usar de forma abusiva. Algumas das iscas iniciais do Help TDS avisam sobre uma suposta atualização iminente do Windows. Em seguida, alertam que a Microsoft desativou o computador, pedem que a vítima não o reinicie e afirmam que um “bloqueio do computador” foi ativado para impedir atividades ilegais.
O alerta fraudulento tenta convencer a vítima a entrar em contato com a equipe de suporte técnico da Microsoft. Se ela ligar, o threat actor do outro lado da linha a instrui a baixar e instalar uma ferramenta gratuita de acesso remoto à área de trabalho, como o UltraViewer, para obter controle total da máquina comprometida.
A etapa de identificação do navegador determina se o usuário será direcionado ao golpe de suporte técnico ou a outra plataforma de marketing de afiliados. Essa plataforma avalia o dispositivo novamente e revende o tráfego. Os redirecionamentos podem levar a páginas fraudulentas com verificações falsas de CAPTCHA, usadas para inscrever o navegador da vítima em serviços que enviam spam por notificações automáticas.
“Registros históricos de DNS, o uso contínuo de outras plataformas de publicidade de afiliados ao longo dos anos e mecanismos de C2 consistentes nos dão alto grau de confiança de que ROI777 e Hotejka são a mesma operação”, afirmou a Infoblox.
Mensagens publicadas pela Hotejka em seu canal do Telegram (@hotejka_hot) demonstram a intenção criminosa do grupo. As publicações anunciam instalações forçadas de extensões para navegadores e páginas de suporte técnico “muito difíceis de fechar”. Em uma mensagem de 17 de julho, o operador afirmou que uma “pequena central de atendimento na Alemanha atenderá de 50 a 100 ligações por dia”.
Desde abril de 2026, os golpes são executados em sites gratuitos do Cloudflare Pages (*.pages[.]dev). O threat actor cria cerca de 300 páginas descartáveis por dia. Mais de 20.000 desses domínios foram detectados desde então. Nos últimos anos, a Hotejka também foi observada usando diferentes nomes em fóruns como o CrackingX, onde procurava comprar tráfego de spam por e-mail e acesso a painéis de administração do WordPress por preços a partir de US$ 100.
Ao todo, cerca de 20 afiliados diferentes, entre eles Balada Injector, Detour Dog e DollyWay, enviam tráfego ao Help TDS. Essas operações são conhecidas por atacar sites WordPress em grande escala para redirecionar vítimas a golpes e malware.
“A Hotejka/ROI777 mantém uma relação contínua com as duas plataformas de afiliados desde 2017, e acreditamos que essa fidelidade tenha sido bastante lucrativa”, afirmou a Infoblox. “Com base nos volumes de DNS observados nos últimos oito anos, na possibilidade de rastrear o tráfego ao longo do tempo por meio de identificadores de afiliados e nos valores de pagamento comumente citados para publicidade de afiliados em geral, suspeitamos que os dois programas europeus tenham pago pelo menos alguns milhões de dólares.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...