Een omvangrijke oplichtingscampagne, die al sinds april 2017 actief is, maakt misbruik van meer dan 20.000 Cloudflare Pages-domeinen om valse Microsoft-beveiligingswaarschuwingen te verspreiden. Sinds april 2026 host de groep, die gelieerd is aan het Help Traffic Distribution System (Help TDS), zijn oplichtingspagina's op tijdelijke Cloudflare Pages-sites. Dagelijks worden er ongeveer 300 nieuwe domeinen aangekondigd via Telegram. Naast de 20.000 domeinen die direct geassocieerd worden met de kernoperatie, heeft Infoblox nog eens 10.000 Pages-domeinen gedetecteerd die verband houden met phishing of misleidende activiteiten. Sommige van deze pagina's tonen tijdens directe scans onschuldig ogende advertenties om hun ware aard te verbergen.

De campagne maakt gebruik van Help TDS om bezoekers van gecompromitteerde websites, kwaadaardige advertenties, sociale media en spam te leiden naar oplichtingspraktijken rond technische ondersteuning. Help TDS analyseert browsergegevens en locatie om te bepalen waar elke bezoeker naartoe wordt gestuurd. Geselecteerde gebruikers krijgen een valse update-melding te zien, gevolgd door waarschuwingen met het Microsoft-logo. Eerder onderzoek naar Help TDS-websiteomleidingen beschreef hoe kwaadaardige PHP-sjablonen en WordPress-plugins legitieme websites omvormen tot ingangspunten voor dergelijke oplichtingspraktijken. Ook GoDaddy heeft eerder de kwaadaardige WordPress-plugin infrastructuur gedocumenteerd die deze omleidingen ondersteunt. Onderzoek naar DollyWay WordPress-malware-infecties legt uit hoe gecompromitteerde sites verkeer naar oplichtingsnetwerken voeden, waardoor website-infecties worden gekoppeld aan bezoekers die uiteindelijk valse waarschuwingen tegenkomen.

De valse pagina's beweren dat Microsoft de computer heeft uitgeschakeld, spelen luide alarmen af en tonen een ondersteuningsnummer. Een browserlock zorgt ervoor dat het apparaat onbruikbaar lijkt, wat slachtoffers ertoe aanzet iemand te bellen die zich voordoet als een Microsoft-technicus.

Het uiteindelijke doel van de oplichting is niet enkel het verkrijgen van betaling voor valse reparaties, maar het verkrijgen van externe toegang. De oplichting is erop gericht gebruikers ervan te overtuigen zelf software voor externe toegang te installeren, wat vervolgens toegang biedt voor gegevensdiefstal of verdere aanvallen.

Onderzoekers van Infoblox hebben de aan malware gekoppelde operatie geïdentificeerd. Een medewerker van een getest callcenter in juni 2026 beweerde Microsoft Technical Support te vertegenwoordigen. Deze medewerker instrueerde de onderzoekers vervolgens om UltraViewer te downloaden, een legitieme tool voor externe toegang op afstand die door aanvallers misbruikt kan worden voor systeemtoegang. Het gesprek werd beëindigd nadat de onderzoekers vroegen waarom aanvullende software nodig was.

Hotejka, een affiliateprogramma met Russische wortels, beheert Help TDS. Een onderzoeksrapport van 15 oktober koppelt Hotejka aan ROI777 via historische DNS-records, gedeelde infrastructuur, affiliate-identificatoren en toegang tot het affiliate-paneel. Infoblox identificeerde ongeveer 20 affiliates, waaronder Balada Injector, Detour Dog en DollyWay. De affiliate-code haalt actuele routeringsdomeinen op van Telegram, gebruikt een fallback-server en vernieuwt gecachte resultaten elke 30 seconden.

De oplichting kan mogelijk worden beperkt tot de werktijden van het callcenter.

Infoblox detecteerde gerelateerde domeinen ongeveer zeven dagen voor hun daadwerkelijke gebruik. De blootstelling bij hun cloudklanten daalde in september van dagelijkse pieken van 4% naar minder dan 0,5%.

Eerdere berichtgeving over misbruik van Cloudflare-ontwikkelaarsdomeinen toont aan hoe criminelen deze diensten ook gebruiken voor phishing-omleidingen en valse verificatiepagina's.