Help TDS stellt Partnern und Affiliates PHP-Code-Vorlagen bereit, die in kompromittierte Websites eingebaut werden und Besucher auf sogenannte Tech-Support-Scams umleiten. Die Betrugsseiten nutzen Vollbild-Manipulation im Browser und Techniken, die das Verlassen der Seite verhindern, und zeigen gefälschte Windows-Sicherheitswarnungen mit der Aufforderung, eine „Windows Support"-Nummer anzurufen.
„Help TDS liefert Tech-Support-Scams, die Nutzer zu Callcentern lenken, wo Social Engineering eingesetzt wird, um sie zur Installation von Fernwartungswerkzeugen zu bewegen", erklärte Infoblox. „Das ist kein einfacher Kreditkartenbetrug: Es geht um Fernzugriff und Malware-Operationen mit Bordmitteln. Einmal drin, kann der Angreifer das Opfer immer wieder ausnutzen."
Typische Köder kündigen zunächst ein angeblich bevorstehendes Windows-Update an, gefolgt von der Warnung, der Rechner sei von Microsoft deaktiviert worden. Die Opfer werden angewiesen, den Computer nicht neu zu starten; eine „Computersperre" solle illegale Aktivitäten unterbinden. Ruft das Opfer die genannte Nummer an, wird es angeleitet, ein kostenloses Fernwartungsprogramm wie Ultraviewer zu installieren, womit die Täter vollständige Kontrolle über die Maschine erhalten.
Das TDS arbeitet wie ein Relais: Es fängt Traffic von kompromittierten Websites, bösartigen Anzeigen, Social-Media-Beiträgen oder SEO-Spam ab, bewertet den Besucher über Browser-Fingerprinting und Standort und filtert nach Kriterien wie geografischer Lage, Gerätemetadaten, IP-Reputation und Headless-Browsern. Je nach Ergebnis landen Nutzer bei Betrugsseiten, Browser-Lockern oder Malware-Downloads – oder werden an eine weitere Affiliate-Marketing-Plattform weitergereicht, die das Gerät erneut bewertet und den Traffic weiterverkauft. Diese Pfade enden auf Landingpages mit gefälschten CAPTCHA-Abfragen, über die der Browser des Opfers für Push-Benachrichtigungs-Spam registriert wird.
„Help TDS und seine Vorläufer sind die Routing-Entscheidungsinfrastruktur für ein kleines Partnerprogramm", so Infoblox. „Andere Bedrohungsakteure, etwa solche, die Websites kompromittiert haben, schicken potenzielle Opfer über speziell präparierte URLs an das TDS." Die Affiliates reichten von Spam-Betreibern bis zu Website-Kompromittierern. Umgesetzt ist das TDS den Forschern zufolge auf Keitaro, einer Plattform zur Erfolgsmessung von Werbung, die von diversen Bedrohungsakteuren missbraucht wird.
GoDaddy hatte die Weiterentwicklung von Help TDS im August 2025 dokumentiert und dabei ein bösartiges WordPress-Plugin namens „woocommerce_inputs" beschrieben, das auf Tausenden Websites WordPress-Zugangsdaten stahl und die Weiterleitungen ermöglichte, indem es die Ziel-URLs von Command-and-Control-Servern abrief. Das Plugin – alternativ ein eigener HTML-Block – wird von Hotejkas Affiliates in die Seiten eingeschleust. GoDaddy stellte zudem fest, dass „roi777[.]com" zwischen 2018 und 2020 zu den historischen C2-Domains gehörte, über die die Weiterleitungsziele bezogen wurden.
Die historische Verfolgung bösartiger Weiterleitungsketten zeigte außerdem, dass Help TDS regelmäßig Traffic direkt an VexTrio Viper übergab – einen Cyberkriminalitätsakteur, der ein Partnerprogramm für Scams, Riskware, Spyware, Adware und pornografische Inhalte betreibt.
ROI777 war im Juni 2018 von Guardicore Labs (heute Teil von Akamai) im Zusammenhang mit der Kampagne „Operation Prowli" zur Traffic-Manipulation und zum Kryptomining öffentlich gemacht worden. Dabei wurden verwundbare Server kompromittiert, um die Malware r2r2 auszubringen und über sie Kryptowährung zu schürfen; parallel wurden WordPress-Seiten und Server mit anderen Content-Management-Systemen für Traffic-Monetarisierungsbetrug ausgenutzt. „Traffic-Monetarisierer wie ROI777 kaufen Traffic von ‚Website-Betreibern‘ wie den Prowli-Angreifern und leiten ihn bedarfsgerecht auf Domains um", hielt Guardicore Labs damals fest. Die Betreiber verdienten pro weitergeleitetem Traffic; die Zieldomains hosteten häufig unterschiedliche Betrugsmaschen wie gefälschte Dienste oder bösartige Browser-Erweiterungen.
Als Auslöser der Umbenennung gilt ein Datenleck von ROI777-Servern im März 2018 – zu einer Zeit, als die Gruppe mit Disposable TDS einen Vorläufer von Help TDS betrieb. Veröffentlicht wurden unter anderem Telegram-Identitäten der Nutzer sowie Details zu mehreren Kampagnen. „Historische DNS-Einträge, die über Jahre gleichbleibende Nutzung derselben Affiliate-Werbeplattformen und konsistente C2-Mechanismen geben uns ein hohes Maß an Zuversicht, dass ROI777 und Hotejka ein und dasselbe sind", so Infoblox.
Im Telegram-Kanal @hotejka_hot bewirbt der Betreiber erzwungene Installationen von Browser-Erweiterungen sowie Support-Scam-Landingpages, die „sehr schwer zu verlassen" seien. In einem Beitrag vom 17. Juli 2026 erklärte der Betreiber, ein „kleines Callcenter in Deutschland wird 50 bis 100 Anrufe pro Tag abwickeln".
Seit April 2026 laufen die Betrugsseiten auf kostenlosen Cloudflare-Pages-Sites (*.pages[.]dev). Der Akteur legt rund 300 Wegwerfseiten pro Tag an; insgesamt wurden seither mehr als 20.000 solcher Domains erfasst. In den vergangenen Jahren trat Hotejka zudem unter wechselnden Aliasen in Foren wie CrackingX auf und suchte dort Traffic aus E-Mail-Spam sowie Zugänge zu WordPress-Adminbereichen – zu Preisen ab 100 US-Dollar.
Insgesamt liefern etwa 20 verschiedene Affiliates Traffic an Help TDS, darunter Balada Injector, Detour Dog und DollyWay. Diese Operationen zielen bekanntermaßen stark auf WordPress-Seiten, um Besucher auf Scams und Malware umzuleiten.
„Hotejka/ROI777 ist den beiden Affiliate-Plattformen seit 2017 treu geblieben, und wir glauben, dass sich diese Treue reichlich ausgezahlt hat", so Infoblox. Auf Basis der über acht Jahre beobachteten DNS-Volumina, der Nachverfolgung von Traffic über Affiliate-IDs und üblicher Auszahlungsgrößen im Affiliate-Werbegeschäft gehen die Forscher davon aus, dass die beiden europäischen Programme mindestens einige Millionen US-Dollar gezahlt haben.