Ein Bericht von Dark Reading vom 19. Oktober 2026 beschreibt, wie Infoblox-Forscher direkten Zugang zum Partner-Panel von Help TDS erhielten. Infoblox-Vizepräsidentin Renée Burton rief außerdem bei einer Nummer aus einer gefälschten Microsoft-Warnung an. Der Anruf führte zu einem Versuch, sie zur Installation der Fernzugriffssoftware UltraViewer zu bewegen.
Wie Help TDS Besucher in eine falsche Support-Warnung lenkt
Help TDS ist ein Traffic-Distribution-System: Es prüft Merkmale eines Besuchers und leitet ihn anhand von Faktoren wie seinem Standort zu einem Ziel weiter. Dazu kann eine betrügerische Support-Seite gehören. Infoblox zufolge nutzt die Masche gefälschte Update- oder Sicherheitsmeldungen, eine Browser-Sperre und die Aufforderung, eine Telefonnummer anzurufen.
Infoblox zufolge betreibt das Partnerprogramm Hotejka Help TDS und ist mit dem früheren Programm ROI777 verbunden. Die Partner liefern dem System Besucher zu. In der Anzeige eines Partners im Panel war eine Microsoft-Support-Kampagne neben weiteren Angeboten aufgeführt.
Der Anruf zielte auf Fernzugriff
Infoblox datiert den Anruf auf Mitte Juni 2026. Die Person am Telefon gab sich als Microsoft-Supportmitarbeiter aus und wies Burton an, UltraViewer herunterzuladen. Dark Reading bezifferte die Dauer des Gesprächs auf 13 Minuten. Der Anruf zeigt den nächsten Schritt der Masche: Nach der gefälschten Warnung soll der Kontakt am Telefon den Weg zu einem Fernzugriff auf das Gerät ebnen.
Ein WordPress-Plugin sammelte Kontodaten
GoDaddy Security untersuchte das schädliche WordPress-Plugin woocommerce_inputs. GoDaddy schätzt, dass es weltweit auf mehr als 10.000 Websites installiert war. Die von GoDaddy untersuchte Version 1.5 übermittelte WordPress-Benutzernamen, E-Mail-Adressen, Anzeigenamen und Website-Adressen an die Steuerungsinfrastruktur von Help TDS. Version 2.0.0 ergänzte laut GoDaddy tägliche automatische Update-Abfragen.
Das Plugin ist kein offizielles WooCommerce-Produkt und steht laut GoDaddy nicht mit WooCommerce oder Automattic in Verbindung. Für Website-Betreiber ist der Befund relevant, weil die Masche damit neben den Besuchern einer umgeleiteten Seite auch Daten aus WordPress-Konten betreffen konnte.
Infoblox meldete neue Domain- und Erkennungszahlen
Infoblox identifizierte 2026 rund 20 Partner und berichtete, dass Hotejka täglich etwa 300 neue Cloudflare-Pages-Seiten einrichtete. Bis Mitte September hatte Infoblox mehr als 16.000 Domains erfasst, die Hotejka später für Help TDS verwendete. Daneben meldete das Unternehmen rund 30.000 insgesamt erkannte Domains im Zusammenhang mit dem Betrieb.
Im Juli 2026 führte Infoblox nach eigenen Angaben einen Algorithmus zur Vorhersage von Domains ein. Das Unternehmen berichtete, neue Cloudflare-Pages-Domains im Durchschnitt rund sieben Tage vor ihrer Nutzung in Help TDS erkannt zu haben. Die gemeldete Exposition unter Infoblox-Kunden veränderte sich im Laufe des Jahres:
| Beobachtungszeitraum | Exposition bei Infoblox-Cloudkunden |
| Ein einzelner Tag nach dem Wechsel zu Cloudflare Pages | Bis zu 4 % |
| September 2026 nach neuen Erkennungsmethoden | Unter 0,5 % |
Die Prozentwerte beziehen sich auf Infoblox-Cloudkunden. Sie beschreiben weder alle Cloudflare-Kunden noch die Internetbevölkerung.
Eine Telefonnummer in der Warnung ist ein Warnsignal
Microsoft erklärt, dass echte Fehler- und Warnmeldungen keine Telefonnummer enthalten und das Unternehmen keine unaufgeforderten Anrufe mit technischem Support tätigt. Eine Telefonnummer in einem angeblichen Microsoft-Sicherheitsfenster passt daher nicht zu Microsofts eigener Beschreibung legitimer Warnmeldungen. Wer Unterstützung braucht, kann den Kontakt über den Microsoft-Support selbst starten.
