Help TDS utiliza alojamiento web gratuito para implementar servicios de soporte técnico fraudulentos

 

·        Infoblox Threat Intel, la unidad de inteligencia de seguridad de Infoblox, vincula esta actividad con la red Hotejka, y ha detectado más de 16.000 dominios para esta campaña, antes de que fueran utilizados.

 

Octubre de 2026: Infoblox Threat Intel (ITI), la unidad de inteligencia de seguridad de Infoblox, ha hecho público un informe que pone de manifiesto cómo Hotejka, un programa de afiliados en lengua rusa, utiliza un sistema de distribución de tráfico denominado Help TDS para redirigir a usuarios a call centers de soporte técnico donde se convence a las víctimas para que instalen herramientas de escritorio remoto. Según Infoblox, Help TDS parece ser la nueva denominación de ROI777, que lleva activo al menos desde abril de 2017. El actor malicioso detrás de Help TDS es un buen ejemplo de la dificultad de rastrear este tipo de actividad maliciosa, que convierte la investigación en un juego del gato y el ratón.

 

Un sistema de distribución de tráfico (TDS) dirige a los usuarios a diferentes destinos, en base a parámetros como la ubicación o el tipo de dispositivo. Help TDS canaliza el tráfico proveniente de sitios comprometidos, anuncios maliciosos, redes sociales y correo no deseado (spam) hacia call centers de soporte técnico. Sorprende la persistencia de este agente malicioso, cuyas operaciones han sobrevivido bajo diversas formas durante años.

 

En junio de 2026 Infoblox siguió el rastro de esta amenaza hasta un call center. Un falso agente de soporte técnico se ofrecía a ayudar a eliminar bloqueos del navegador, para ello le indicaba al usuario que debía descargar el software UltraViewer, una herramienta gratuita de escritorio remoto que otorgaría a los estafadores acceso total al equipo.

 

Renée Burton, VP de Infoblox Threat Intel, ha comentado: “a menudo se asocian las estafas de soporte técnico con servicios antivirus innecesarios y el robo de datos de tarjetas de crédito. Las estafas actuales son ataques complejos de ingeniería social que otorgan a los actores de amenazas acceso ilimitado a los dispositivos y la capacidad de seguir explotando a la víctima mucho después de la llamada telefónica inicial".

 

Desde abril de 2026, Hotejka ha utilizado el servicio Cloudflare Pages para crear cientos de páginas diarias. Infoblox Threat Intel ha detectado más de 20.000 dominios relacionados con esta amenaza en un periodo de seis meses, además de 10.000 páginas aparentemente utilizadas para actividades de phishing o como distracción. Los investigadores son capaces ahora de identificar los dominios unos siete días antes de que empiecen a ser usados. La exposición de clientes cloud de Infoblox a esta amenaza descendió desde un máximo del 4% en un día a menos del 0,5 % en septiembre.

 

Para más información, visitar https://www.infoblox.com/blog/threat-intelligence/inside-help-tds-hotejka-cloudflare-pages-and-predictive-detection/