Le système de redirection Help TDS, actif depuis 2017, serait lié au programme d'affiliation russe Hotejka, ex-ROI777.

Le système de distribution de trafic Help TDS vient d’être rattaché à un programme d’affiliation russophone baptisé Hotejka. En effet, ce programme serait en réalité une nouvelle identité de ROI777, une opération de monétisation de trafic déjà connue. Par ailleurs, plus de 20 000 domaines hébergés sur Cloudflare Pages diffusent des arnaques au faux support technique. Voici ce que l’on sait de ce dispositif.

Help TDS : un système de redirection actif depuis 2017

Un TDS (Traffic Distribution System) fonctionne comme un aiguilleur. Il reçoit des visiteurs. Ensuite, il les envoie vers une destination choisie selon certains critères. Ces outils existent notamment dans la publicité légitime. Cependant, les cybercriminels les détournent pour diffuser des contenus malveillants.

Help TDS est considéré comme actif depuis 2017 au moins. Il s’agit donc d’une infrastructure installée dans la durée. Son fonctionnement repose sur des modèles de code PHP. Ces modèles sont également proposés à des partenaires et à des affiliés.

Ces derniers les installent ensuite sur des sites web compromis. Ainsi, le code piégé joue le rôle de relais. Il redirige les internautes peu méfiants vers des pages choisies par l’opérateur du réseau. En effet, le visiteur ne se doute de rien : le site d’origine paraît normal.

Hotejka, successeur présumé de ROI777

L’analyse établit un lien entre Help TDS et Hotejka. Ce programme d’affiliation s’adresse à un public russophone. Il semble reprendre l’activité de ROI777, une opération de monétisation de trafic. Autrement dit, la marque a changé, mais le modèle économique paraît rester le même.

Ce type de rebranding est courant dans la cybercriminalité. En effet, il permet de se faire oublier après une exposition publique. Il facilite également le recrutement de nouveaux affiliés. De plus, il complique le travail des chercheurs qui suivent ces groupes dans le temps.

Le modèle de l’affiliation mérite d’être expliqué. D’abord, les opérateurs fournissent l’outil et l’infrastructure. Ensuite, les affiliés apportent le trafic en compromettant des sites. Chacun y trouve donc son compte, et la chaîne reste difficile à démanteler. Par conséquent, la suppression d’un seul site compromis ne suffit pas à stopper l’ensemble.

Plus de 20 000 domaines Cloudflare Pages touchés

Le volume est l’un des points marquants de cette affaire. Plus de 20 000 domaines sur Cloudflare Pages hébergent des arnaques au faux support technique. Ce chiffre montre l’ampleur de l’exploitation d’un service d’hébergement pourtant légitime.

Ces escroqueries suivent un schéma bien rodé. D’abord, la victime arrive sur une page qui imite une alerte de sécurité. Le message affirme que son appareil est infecté ou bloqué. Ensuite, il l’incite à appeler un prétendu technicien. Enfin, ce faux support cherche à obtenir de l’argent ou un accès à distance.

L’usage de Cloudflare Pages présente un avantage pour les fraudeurs. Il permet de créer rapidement un grand nombre de domaines. En outre, ces adresses héritent d’une image de confiance liée à la plateforme. Néanmoins, rien n’indique que le service lui-même soit défaillant. Il s’agit donc d’un détournement d’usage.

Comment limiter l’exposition au Help TDS

Deux populations sont concernées. D’un côté, les propriétaires de sites web, dont les pages peuvent être compromises sans qu’ils le sachent. De l’autre, les internautes, qui peuvent tomber sur une fausse alerte. Les mesures diffèrent donc selon le profil.

Pour les administrateurs de sites

• Mettez à jour régulièrement le système de gestion de contenu, les thèmes et les extensions.
• Recherchez ensuite du code PHP inconnu ou obscurci dans les fichiers du site.
• Activez également l’authentification multifacteur sur tous les comptes d’administration.
• Surveillez les redirections inhabituelles, notamment celles qui ne touchent que certains visiteurs.

Pour les internautes

• Ne rappelez jamais un numéro affiché dans une alerte de navigateur.
• Fermez ensuite la page suspecte sans cliquer sur ses boutons.
• N’installez aucun outil d’accès à distance à la demande d’un inconnu.
• Enfin, contactez un proche ou un professionnel de confiance en cas de doute.

Ce qu’il faut retenir

• Help TDS est un TDS actif depuis 2017 au moins.
• Il distribue des modèles PHP à des affiliés, qui les placent ensuite sur des sites compromis.
• Il est également relié à Hotejka, un programme d’affiliation russophone qui serait le nouveau nom de ROI777.
• Par ailleurs, plus de 20 000 domaines Cloudflare Pages hébergent des arnaques au faux support technique.
• Une alerte qui réclame un appel téléphonique est donc presque toujours frauduleuse.

Source : Help TDS Linked to Hotejka as 20,000+ Cloudflare Pages Domains Host Tech Support Scams