Een Russischtalig cybercrimineel netwerk dat al sinds zeker 2017 actief is, blijft slachtoffers lokken naar nepwaarschuwingen en frauduleuze helpdesks. Onderzoekers van Infoblox hebben het netwerk achter het zogenoemde Help Traffic Distribution System, kortweg Help TDS, nader onderzocht en koppelen de infrastructuur met grote waarschijnlijkheid aan het affiliateprogramma Hotejka. Dat zou op zijn beurt een voortzetting zijn van het eerder ontmaskerde ROI777.
Help TDS fungeert als een distributiesysteem dat internetgebruikers via gehackte websites, spam, advertenties en sociale media naar verschillende vormen van fraude stuurt. Het systeem analyseert onder meer browserkenmerken en locatiegegevens om te bepalen welke inhoud een bezoeker te zien krijgt. Bij slachtoffers die geschikt worden geacht voor helpdeskfraude verschijnt een alarmerende melding dat hun computer zou zijn geblokkeerd door Microsoft. Daarbij wordt een telefoonnummer van een vermeende Microsoft-helpdesk getoond.
Hotejka
De aanpak gaat verder dan traditionele telefonische oplichting. Onderzoekers die zelf contact opnamen met de frauduleuze helpdesk kregen uiteindelijk het verzoek om de gratis remote-desktopsoftware UltraViewer te installeren. Daarmee zouden de aanvallers volledige toegang tot de computer kunnen krijgen. Een eenmaal verkregen toegang kan vervolgens worden misbruikt voor bijvoorbeeld informatiediefstal, verdere malware-installaties of afpersing.
Tijdelijke domeinen
Infoblox ziet dat Hotejka in 2026 veelvuldig gebruikmaakt van Cloudflare Pages. Sinds april zouden honderden nieuwe pagina’s per dag worden aangemaakt. In een periode van zes maanden ontdekten de onderzoekers meer dan 20.000 domeinen die aan de Help TDS-operatie konden worden gekoppeld. Daarnaast werden nog eens ongeveer 10.000 pagina’s gevonden die vermoedelijk voor phishing of andere afleidingsoperaties werden gebruikt.
De schaal maakt detectie lastig. Cloudflare Pages verwerkt dagelijks meer dan 125.000 nieuwe sites, terwijl Hotejka volgens de onderzoekers ongeveer 300 nieuwe domeinen per dag genereert met verschillende algoritmen. Daardoor verdwijnen malafide adressen gemakkelijk tussen enorme aantallen legitieme nieuwe websites.
Lees ook: Criminelen steken miljoenen in verlopen domeinnamen
Algoritmen
Infoblox zegt inmiddels de gebruikte algoritmen te hebben geanalyseerd en nieuwe Hotejka-domeinen gemiddeld zeven dagen voordat ze daadwerkelijk worden ingezet te kunnen herkennen. Tot medio september werden op deze manier meer dan 16.000 domeinen voorspeld die later in Help TDS opdoken. Het percentage cloudklanten van Infoblox dat met de campagne werd geconfronteerd, daalde daardoor volgens het bedrijf in september tot minder dan 0,5 procent.
Miljoenen verdiend
De onderzoekers stellen dat Hotejka nauwe banden heeft met ROI777, een netwerk dat al jaren geleden in verband werd gebracht met kwaadaardige redirects. Onder meer historische DNS-gegevens, affiliate-ID’s en gedeelde infrastructuur wijzen volgens Infoblox op dezelfde operator. De groep zou via affiliateprogramma’s over de jaren miljoenen dollars hebben verdiend.
Ook de commerciële werkwijze valt op. Hotejka zou openlijk verkeer inkopen uit spam, gehackte WordPress-sites, sociale media en andere bronnen. In advertenties werden onder meer slachtoffers in de Verenigde Staten, Frankrijk, België, Japan, Canada, Zweden en Australië gezocht. In september kondigde de groep bovendien een nieuw verdienmodel aan rond gedwongen installatie van browserextensies.
Cybercriminele ecosystemen
Voor organisaties onderstreept het onderzoek hoe langdurig dergelijke cybercriminele ecosystemen kunnen blijven bestaan. Het blokkeren van afzonderlijke domeinen is onvoldoende wanneer criminelen dagelijks honderden nieuwe adressen genereren. Voorspellende detectie, waarbij infrastructuur wordt herkend voordat deze daadwerkelijk voor aanvallen wordt gebruikt, kan daarom steeds belangrijker worden.