System Help TDS, działający co najmniej od 2017 roku, służy jako infrastruktura do przekierowywania ruchu na oszustwa typu tech support scam. System ten jest powiązany z rosyjskim programem afiliacyjnym Hotejka, który prawdopodobnie stanowi rebranding wcześniejszej operacji ROI777. Atakujący wykorzystują zainfekowane witryny, w tym te oparte na WordPressie, aby kierować ofiary na fałszywe komunikaty o błędach systemu Windows.
Mechanizm działania opiera się na zaawansowanym fingerprintingu przeglądarki i lokalizacji użytkownika, co pozwala na dynamiczne decydowanie o ścieżce ataku. Ofiary są manipulowane za pomocą technik blokowania wyjścia z przeglądarki i pełnoekranowych komunikatów, które nakazują kontakt z rzekomym wsparciem Microsoftu. Po kontakcie telefonicznym socjotechnika służy do nakłonienia ofiary do instalacji narzędzi do zdalnego pulpitu, co daje przestępcom pełną kontrolę nad komputerem.
Analiza wykazała, że napastnicy masowo wykorzystują darmowe subdomeny Cloudflare Pages (.pages.dev), tworząc około 300 nowych stron dziennie. Do infekcji stron WordPress często wykorzystywany jest złośliwy plugin woocommerceinputs, który kradnie dane logowania administratorów i pobiera adresy URL z serwerów C2. Cała operacja jest wysoko zautomatyzowana i przynosi sprawcom ogromne zyski z monetyzacji ruchu.
