Op 19 oktober 2026 meldde Dark Reading dat Infoblox-onderzoekers toegang hadden gekregen tot het affiliatepaneel van Help TDS. Het systeem stuurt webbezoekers door naar valse Microsoft-waarschuwingen en frauduleuze supportgesprekken.
Hoe Help TDS bezoekers naar een nep-supportgesprek leidt
Help TDS is een verkeersdistributiesysteem: het selecteert webbezoekers en stuurt ze naar een bestemming. Infoblox zegt dat het systeem bezoekerskenmerken en locatie beoordeelt. Afhankelijk daarvan kan iemand bij een Microsoft-themawaarschuwing of bij een andere affiliatebestemming terechtkomen.
Dark Reading beschreef een Microsoft-gerichte scamcampagne in het affiliatepaneel, naast andere manieren om verkeer te gelde te maken. Infoblox beoordeelt dat Hotejka Help TDS beheert en koppelt het programma aan ROI777.
De waarschuwing kan zich voordoen als een Windows-update of beveiligingsmelding. Een browservergrendeling, alarmgeluiden en de instructie om een telefoonnummer te bellen zetten druk op de bezoeker. Het gesprek verplaatst de scam vervolgens van de browser naar een callcenter.
De WordPress-plug-in verzamelde ook sitegegevens
GoDaddy Security beschreef de kwaadaardige WordPress-plug-in woocommerce_inputs, die bezoekers naar scams via Help TDS kon doorsturen. GoDaddy schatte dat de plug-in op meer dan 10.000 websites wereldwijd was geïnstalleerd.
Volgens GoDaddy verzamelde versie 1.5 WordPress-gebruikersnamen, e-mailadressen, weergavenamen en site-URL's en stuurde die door naar de command-and-controlinfrastructuur van Help TDS. De plug-in is niet verbonden aan WooCommerce of Automattic.
Een telefoongesprek eindigde bij het verzoek om UltraViewer
Medio juni 2026 bezocht Infoblox een gecompromitteerde website, kreeg een browservergrendeling te zien en belde het getoonde nummer. Renée Burton, vicepresident dreigingsinformatie bij Infoblox, sprak met iemand die zich voordeed als Microsoft-medewerker. Volgens Dark Reading duurde het gesprek 13 minuten.
De beller gaf Burton instructies om uit en weer in te loggen en probeerde haar UltraViewer te laten downloaden, software voor externe toegang. Het gesprek eindigde nadat Burton het installatieverzoek ter discussie stelde.
Infoblox meldde nieuwe domeinen en lagere blootstelling
Infoblox identificeerde in 2026 ongeveer twintig affiliates, waaronder Balada Injector, Detour Dog en DollyWay. Vanaf april 2026 gebruikte Help TDS ook wegwerpsites via Cloudflare Pages. Infoblox meldde dat Hotejka dagelijks ongeveer 300 van zulke sites aanmaakte. Het Telegram-kanaal van Hotejka ververste de actuele verzameling Cloudflare Pages-domeinen elke vijf minuten.
Tot medio september 2026 had Infoblox meer dan 16.000 domeinen gedetecteerd die Hotejka later voor Help TDS gebruikte. Het bedrijf rapporteerde daarnaast ongeveer 30.000 gerelateerde domeinen in totaal. In juli 2026 voerde Infoblox domeinvoorspelling in; volgens het bedrijf vond detectie gemiddeld ongeveer zeven dagen plaats voordat de domeinen in Help TDS werden gebruikt.
| Meetmoment | Gemelde blootstelling | Populatie en omstandigheden |
| Een piekdag na de overstap naar Cloudflare Pages | Tot 4% | Infoblox-cloudklanten |
| September 2026 | Minder dan 0,5% | Infoblox-cloudklanten, na nieuwe detectiemethoden |
Zo herken je een valse Microsoft-waarschuwing
Microsoft zegt dat echte fout- en waarschuwingsberichten nooit een telefoonnummer bevatten. Het bedrijf belt ook niet ongevraagd om technische ondersteuning aan te bieden. Wie hulp nodig heeft, kan zelf contact opnemen via Get Help op het web of in Windows, of via Microsofts supportpagina.
