19 października 2026 r. Dark Reading opisał dostęp badaczy Infoblox do panelu afiliacyjnego Help TDS oraz rozmowę Renée Burton z osobą podającą się za pracownika Microsoftu. Help TDS kieruje odwiedzających przez fałszywe alerty do rozmów z oszustami, którzy próbują nakłonić ich do instalacji narzędzia zdalnego dostępu. Infoblox datuje rozmowę Burton na połowę czerwca 2026 r.; według Dark Reading trwała 13 minut.
Jak Help TDS prowadzi do fałszywego wsparcia
Infoblox opisuje Help TDS jako system dystrybucji ruchu, który ocenia cechy przeglądarki i urządzenia oraz lokalizację użytkownika, a następnie kieruje go do oszustwa podszywającego się pod pomoc techniczną Microsoftu lub do innego celu afiliacyjnego. Panel Hotejka oferował partnerom kampanie z fałszywymi alertami Microsoftu, obok innych sposobów zarabiania na ruchu.
Według Infoblox fałszywa strona może wyświetlać ostrzeżenie o aktualizacji lub zagrożeniu bezpieczeństwa, zablokować przeglądarkę i odtwarzać komunikat głosowy z poleceniem, by zadzwonić pod wskazany numer. W rozmowie Burton osoba podająca się za konsultanta Microsoftu zadawała pytania i instruowała ją, by wylogowała się i zalogowała ponownie. Następnie próbowała nakłonić ją do pobrania UltraViewer, programu do zdalnego dostępu. Rozmowa zakończyła się, gdy Burton zakwestionowała tę prośbę.
Infoblox ocenia, że Help TDS prowadzi program afiliacyjny Hotejka, powiązany z wcześniejszą operacją ROI777. Firma wskazuje na historię DNS i identyfikatory afiliantów jako część podstaw tej oceny. W 2026 r. zidentyfikowała około 20 afiliantów, w tym Balada Injector, Detour Dog i DollyWay.
Złośliwa wtyczka zbierała dane witryn WordPress
GoDaddy opisało złośliwą wtyczkę WordPress woocommerce_inputs, która przekierowywała odwiedzających do oszustw z pomocą techniczną. GoDaddy szacuje, że zainstalowano ją na ponad 10 000 stron na całym świecie. Według tej firmy wersja 1.5 przesyłała do infrastruktury sterującej Help TDS nazwy użytkowników WordPress, adresy e-mail, nazwy wyświetlane i adresy URL witryn. GoDaddy podaje też, że wersja 2.0.0 wprowadziła codzienne automatyczne sprawdzanie aktualizacji. Wtyczka nie była powiązana z WooCommerce ani Automattic.
Domeny i ekspozycja klientów Infoblox
Infoblox informuje, że od kwietnia 2026 r. Hotejka tworzyła około 300 witryn Cloudflare Pages dziennie. Do połowy września firma wykryła ponad 16 000 domen, których Hotejka później użyła w Help TDS; osobno podała około 30 000 powiązanych domen wykrytych łącznie. W lipcu Infoblox wdrożył algorytm przewidywania domen. Firma raportowała, że wykrywała je średnio około siedmiu dni przed ich użyciem w Help TDS.
Wskaźniki ekspozycji Infoblox dotyczą jej własnych klientów chmurowych. Firma podała dwa pomiary dla różnych okresów:
| Okres | Ekspozycja wśród klientów chmurowych Infoblox |
| Jeden dzień po przeniesieniu infrastruktury Help TDS na Cloudflare Pages | do 4% |
| Wrzesień 2026 r., po zmianach metod wykrywania | poniżej 0,5% |
Infoblox opisał również pojedynczą transakcję z 21 września 2026 r., w której kliknięcie sprzedano Hotejka za 0,065 USD.
Jak rozpoznać prawdziwy kontakt z Microsoftem
Microsoft informuje, że jego prawdziwe komunikaty o błędach i ostrzeżenia nigdy nie zawierają numeru telefonu. Firma nie wykonuje też niezamówionych połączeń, by zaoferować pomoc techniczną. Jeśli potrzebujesz wsparcia, rozpocznij kontakt samodzielnie przez oficjalną pomoc Microsoft w przeglądarce lub systemie Windows.
