Wprowadzenie do problemu / definicja
Help TDS to system typu Traffic Distribution System, czyli infrastruktura służąca do selekcji, profilowania i przekierowywania ruchu internetowego do określonych kampanii przestępczych. Najnowsze ustalenia badaczy wskazują, że rozwiązanie to jest powiązane z rosyjskojęzycznym programem partnerskim Hotejka, a jego operatorzy wykorzystali ponad 20 tys. domen osadzonych w Cloudflare Pages do prowadzenia oszustw typu tech support scam.
W praktyce oznacza to, że użytkownik trafiający na zainfekowaną lub przejętą stronę może zostać przekierowany do fałszywego alertu bezpieczeństwa. Taki komunikat ma wzbudzić panikę i nakłonić ofiarę do kontaktu z rzekomą pomocą techniczną, co otwiera drogę do dalszego oszustwa lub przejęcia urządzenia.
W skrócie
- Help TDS działa jako centralny mechanizm routingu ruchu do kampanii przestępczych.
- System powiązano z afiliacyjnym programem Hotejka oraz wcześniejszymi operacjami tego samego ekosystemu.
- Przestępcy wykorzystywali ponad 20 tys. domen w Cloudflare Pages do hostowania elementów kampanii.
- Ofiary kierowane były do fałszywych ekranów alarmowych imitujących komunikaty bezpieczeństwa Windows.
- Po kontakcie telefonicznym operatorzy nakłaniali użytkowników do instalacji legalnych narzędzi zdalnego dostępu.
- Ryzyko obejmuje nie tylko wyłudzenie pieniędzy, ale również kradzież danych, trwałą kompromitację systemu i dalszą infekcję malware.
Kontekst / historia
Z dostępnych analiz wynika, że Help TDS działa co najmniej od 2017 roku i jest rozwinięciem wcześniejszych operacji kojarzonych z ROI777 oraz Disposable TDS. Badacze wskazują na ciągłość infrastrukturalną, podobne mechanizmy przekierowań, zbieżności w domenach C2 oraz utrzymanie modelu afiliacyjnego, co sugeruje raczej ewolucję znanego ekosystemu niż pojawienie się zupełnie nowej grupy.
Istotnym elementem tego modelu jest rozdzielenie warstwy pozyskiwania ruchu od warstwy jego monetyzacji. Afilianci odpowiadają za dostarczanie ofiar, między innymi poprzez przejęte witryny internetowe, zainfekowane serwery i nadużycia związane z popularnymi CMS, zwłaszcza WordPressem. Następnie centralny TDS decyduje, do jakiego scenariusza oszustwa lub dalszej redystrybucji trafi dana ofiara.
Analiza techniczna
Od strony technicznej Help TDS pełni rolę inteligentnego punktu decyzyjnego. Ruch przychodzący z przejętych stron lub innych kanałów dystrybucji trafia do przygotowanych adresów URL, gdzie system analizuje zestaw cech użytkownika. Obejmują one geolokalizację, parametry przeglądarki, charakterystykę urządzenia, reputację adresu IP oraz sygnały wskazujące na środowiska analityczne, takie jak przeglądarki headless czy sandboxy.
Na podstawie zgromadzonych danych system podejmuje decyzję, czy użytkownik zostanie skierowany do kampanii tech support scam, czy do innej platformy afiliacyjnej odsprzedającej ruch dalej. Takie podejście zwiększa skuteczność operacji, ponieważ pozwala ograniczać ekspozycję infrastruktury na badaczy bezpieczeństwa, automatyczne skanery i niepożądane wizyty.
Kluczowym etapem łańcucha ataku są fałszywe strony alarmowe. Ofiara widzi pełnoekranowe komunikaty sugerujące krytyczne zagrożenie, blokadę systemu albo rzekomą nielegalną aktywność. Mechanizmy utrudniające zamknięcie karty lub opuszczenie strony zwiększają presję psychologiczną i skłaniają użytkownika do wykonania telefonu na numer podany jako kontakt do pomocy technicznej.
Po nawiązaniu rozmowy operatorzy call center stosują techniki socjotechniczne, by przekonać ofiarę do instalacji legalnego oprogramowania zdalnego dostępu. W tym momencie atak przechodzi z etapu przeglądarkowego oszustwa do realnej kompromitacji hosta. Napastnik może uzyskać interaktywną kontrolę nad systemem, instalować dodatkowe narzędzia, pobierać dane i przygotowywać dalszą monetyzację incydentu.
Szczególnie istotna jest skala wykorzystania darmowych zasobów chmurowych. Według analiz od kwietnia 2026 roku operatorzy intensywnie korzystali z domen hostowanych w Cloudflare Pages, tworząc dużą liczbę jednorazowych stron każdego dnia. Taki model utrudnia blokowanie kampanii wyłącznie na podstawie statycznych wskaźników IOC, ponieważ infrastruktura może być szybko odtwarzana i rotowana.
Konsekwencje / ryzyko
Najpoważniejsze zagrożenie polega na tym, że współczesne kampanie tech support scam coraz rzadziej kończą się wyłącznie na wyłudzeniu opłaty za fikcyjną usługę. Jeśli użytkownik zainstaluje narzędzie zdalnego dostępu, napastnik może przejąć pełną kontrolę nad urządzeniem, uzyskać dostęp do danych uwierzytelniających, dokumentów, danych bankowych oraz aktywnych sesji.
W środowiskach firmowych skutki mogą być znacznie bardziej dotkliwe. Kompromitacja pojedynczej stacji roboczej może stać się punktem wyjścia do ruchu bocznego, eskalacji uprawnień, wdrożenia infostealera lub ransomware, a także utrzymania trwałej obecności w infrastrukturze. Dodatkowym problemem jest wykorzystywanie zaufanych usług chmurowych, co osłabia skuteczność detekcji opartych wyłącznie na reputacji domen.
Ryzyko zwiększa również afiliacyjny charakter całej operacji. TDS jako usługa dla wielu partnerów pozwala skalować kampanie, szybciej odbudowywać infrastrukturę po blokadach i rozpraszać odpowiedzialność pomiędzy różne podmioty uczestniczące w łańcuchu ataku.
Rekomendacje
Organizacje powinny traktować incydenty związane z tech support scam jako potencjalny wektor pełnej kompromitacji, a nie wyłącznie jako niskopoziomowe oszustwo. Odpowiedź obronna powinna obejmować zarówno warstwę aplikacyjną, jak i ochronę endpointów oraz edukację użytkowników.
- Regularnie monitorować własne serwisy WWW pod kątem nieautoryzowanych przekierowań, wstrzyknięć skryptów oraz zmian w kodzie motywów i wtyczek.
- Prowadzić audyt środowisk WordPress i innych CMS, ze szczególnym naciskiem na integralność plików oraz niestandardowe bloki HTML.
- Ograniczać możliwość uruchamiania i instalowania narzędzi zdalnego dostępu bez formalnej autoryzacji.
- Wdrożyć listy dozwolonych aplikacji, kontrolę lokalnych uprawnień administracyjnych oraz monitoring uruchomień narzędzi remote support.
- Rozwijać detekcję behawioralną obejmującą nietypowe procesy uruchamiane z przeglądarki, pełnoekranowe strony scareware, nieautoryzowane instalatory i nowe zadania harmonogramu.
- Szkolić pracowników, że legalny dostawca systemu operacyjnego nie żąda kontaktu telefonicznego na podstawie alertu wyświetlanego przez stronę WWW.
- Uwzględnić w playbookach IR scenariusz oszustwa telefonicznego zakończonego zdalnym dostępem do stacji roboczej.
Podsumowanie
Sprawa Help TDS i Hotejka pokazuje, że tech support scam stał się elementem znacznie szerszego ekosystemu cyberprzestępczego. Nie chodzi już o pojedyncze fałszywe strony, lecz o dojrzałą infrastrukturę TDS, model afiliacyjny, automatyzację przekierowań i szybkie skalowanie kampanii z użyciem usług chmurowych.
Dla zespołów bezpieczeństwa kluczowe jest zrozumienie całego łańcucha ataku: od kompromitacji witryn i profilowania ofiary, przez socjotechnikę, aż po przejęcie hosta i dalszą monetyzację. Skuteczna obrona wymaga więc jednoczesnego zabezpieczania aplikacji webowych, kontroli endpointów, monitorowania zachowań oraz budowania świadomości użytkowników.