كشفت شركة Infoblox عن حملة احتيال إلكتروني واسعة النطاق تعتمد على نظام توزيع حركة المرور الخبيث المعروف باسم Help TDS، والذي جرى ربطه ببرنامج الشراكة الناطق بالروسية Hotejka، وسط مؤشرات قوية على أنه امتداد أو إعادة تسمية لعملية تحقيق أرباح من الزيارات الإلكترونية عُرفت سابقًا باسم ROI777.
ووفقًا للتحقيقات الحديثة، تستغل الشبكة الإجرامية أكثر من 20 ألف نطاق مستضاف عبر خدمة Cloudflare Pages المجانية لتنفيذ عمليات احتيال متطورة تعتمد على خداع الضحايا ودفعهم إلى التواصل مع مراكز دعم فني مزيفة، ثم منح المهاجمين إمكانية الوصول الكامل إلى أجهزتهم.
وتسلط النتائج الضوء على تطور اقتصاد الجريمة الإلكترونية القائم على إعادة توجيه المستخدمين وبيع الزيارات الرقمية، حيث تحولت المنظومة من مجرد عمليات احتيال تقليدية إلى بنية تحتية إجرامية متكاملة تربط بين مخترقي المواقع وشبكات الإعلانات الخبيثة ومراكز الدعم الاحتيالية.
Help TDS.. منظومة خفية لتوجيه الضحايا
يُعد Help TDS أحد أنظمة Traffic Distribution System أو أنظمة توزيع الحركة المرورية، وهي منصات تعمل كوسيط ذكي بين مصادر الزيارات والوجهات النهائية المستخدمة في الاحتيال أو توزيع البرمجيات الخبيثة.
ويُعتقد أن النظام يعمل منذ عام 2017 على الأقل، حيث يوفر لشركائه قوالب PHP جاهزة تُزرع داخل مواقع إلكترونية مخترقة، خصوصًا مواقع WordPress، بهدف إعادة توجيه الزوار تلقائيًا إلى صفحات احتيالية.
وتبدأ العملية عادة عبر مواقع شرعية تعرضت للاختراق. وما إن يدخل المستخدم إلى إحدى هذه الصفحات حتى يتم تحليل جهازه ومتصفحه وموقعه الجغرافي من خلال تقنيات البصمة الرقمية Browser Fingerprinting. بعد ذلك يقرر النظام الوجهة الأنسب للضحية وفقًا لخصائصه التقنية والجغرافية.
وأوضحت Infoblox أن Help TDS يمثل البنية التحتية المسؤولة عن اتخاذ قرارات التوجيه داخل هذه الشبكة الإجرامية، حيث يستقبل الزيارات القادمة من مواقع مخترقة أو رسائل بريد عشوائي أو حملات تلاعب بنتائج البحث ثم يوزعها على وجهات مختلفة تشمل عمليات احتيال ودعاية خبيثة ومواقع ضارة.
من ROI777 إلى Hotejka.. تاريخ طويل من استغلال الزيارات
تشير الأدلة الجنائية الرقمية إلى وجود ارتباط وثيق بين Hotejka وROI777، وهي عملية سبق أن كشفتها شركة Guardicore Labs عام 2018 خلال تحقيقها في حملة “Operation Prowli”.
في ذلك الوقت استغل المهاجمون خوادم ومواقع ضعيفة الحماية لتنزيل برمجيات تعدين العملات المشفرة وتحقيق أرباح من إعادة توجيه الزيارات نحو صفحات مشبوهة.
وأظهرت التحقيقات التاريخية أن ROI777 كانت تعتمد على شراء الزيارات من مشغلي المواقع المخترقة ثم إعادة بيعها إلى جهات مختلفة تدير عمليات احتيال أو تروج لبرمجيات خبيثة وإضافات متصفح ضارة.
كما كشفت التسريبات التي ظهرت عام 2018 عن بيانات مرتبطة بالمشغلين وحساباتهم على Telegram إضافة إلى تفاصيل عشرات الحملات الإجرامية النشطة آنذاك.
ويرى الباحثون أن تغيير الاسم إلى Hotejka جاء على الأرجح بعد تلك التسريبات الأمنية التي أضرت بالبنية التشغيلية للمنصة القديمة، مع استمرار الاعتماد على الآليات التقنية نفسها تقريبًا في إدارة حركة الزوار وإعادة توجيههم.
مواقع WordPress في قلب الهجمات
كانت شركة GoDaddy قد وثقت في عام 2025 استخدام إضافة WordPress خبيثة تحمل اسم “woocommerce_inputs”، جرى زرعها في آلاف المواقع الإلكترونية.
وقد استخدمت الإضافة لسرقة بيانات دخول مديري المواقع وللحصول على روابط إعادة التوجيه من خوادم التحكم والسيطرة الخاصة بالمهاجمين.
وتشير البيانات الجديدة إلى أن شركاء Hotejka يواصلون الاعتماد بصورة واسعة على اختراق مواقع WordPress، سواء عبر إضافات خبيثة أو عبر حقن أكواد HTML معدلة داخل الصفحات.
كما تم رصد تعاون غير مباشر بين Help TDS وعدة شبكات إجرامية معروفة، من بينها Balada Injector وDetour Dog وDollyWay، وهي عصابات اشتهرت سابقًا باستهداف مواقع WordPress وتحويلها إلى منصات لنشر الاحتيال والبرمجيات الضارة.
ويؤكد هذا الترابط وجود اقتصاد إلكتروني متكامل يقوم على تقاسم الأدوار بين جهات متخصصة في اختراق المواقع وأخرى تدير البنية التحتية للتوجيه وشركات احتيال تستفيد من الضحايا في المرحلة النهائية.
صفحات مزيفة تنتحل دعم مايكروسوفت
تعتمد الحملة في مرحلتها الأخيرة على ما يُعرف بعمليات Tech Support Scam أو احتيال الدعم الفني.
ويُفاجأ الضحية برسالة تحذيرية مزيفة تملأ شاشة المتصفح بالكامل وتدّعي اكتشاف تهديد أمني خطير أو تعطيل الجهاز من قبل Microsoft بسبب نشاط غير قانوني.
كما تستخدم هذه الصفحات تقنيات تمنع المستخدم من إغلاق النافذة أو مغادرتها بسهولة، في محاولة لخلق شعور بالإلحاح والخطر.
وعند الاتصال برقم الدعم المعروض على الشاشة، يتواصل الضحية مع مركز اتصال يديره المحتالون الذين يقنعونه بتنزيل أدوات وصول عن بُعد مثل UltraViewer أو غيرها من برامج التحكم بالأجهزة.
وبمجرد تثبيت هذه الأدوات يتمكن المهاجم من الوصول الكامل إلى الجهاز، وسرقة البيانات، وتنفيذ عمليات احتيال إضافية، أو تثبيت برمجيات ضارة تتيح استمرار السيطرة لفترات طويلة.
وتشير Infoblox إلى أن الخطر لا يقتصر على سرقة بطاقات الدفع أو تحصيل رسوم مزيفة، بل يمتد إلى تنفيذ عمليات اختراق فعلية للأجهزة باستخدام أدوات الإدارة الشرعية نفسها، وهو أسلوب يُعرف باسم “العيش على موارد النظام” لتجنب اكتشاف النشاط الخبيث.
Cloudflare Pages تتحول إلى منصة استضافة للعمليات الاحتيالية
أحد أبرز الاكتشافات الحديثة تمثل في انتقال المهاجمين منذ أبريل 2026 إلى استخدام خدمة Cloudflare Pages المجانية لاستضافة صفحاتهم الاحتيالية.
ووفقًا للبيانات المنشورة، ينشئ المشغلون نحو 300 صفحة جديدة يوميًا، ما أدى إلى رصد أكثر من 20 ألف نطاق ضمن النطاق الفرعي pages.dev خلال أشهر قليلة فقط.
وتوفر هذه الاستضافة المجانية للمهاجمين مزايا عديدة، أبرزها سهولة الإنشاء وسرعة تبديل النطاقات والهروب من عمليات الحجب والإزالة.
كما أظهرت منشورات نُشرت عبر قناة Hotejka على Telegram نية إجرامية واضحة، حيث تروج الصفحات لخدمات تثبيت إضافات متصفح قسرية وصفحات دعم فني يصعب على المستخدمين مغادرتها، مع ادعاءات بقدرة مراكز الاتصال التابعة لهم على معالجة عشرات المكالمات يوميًا.
ويعتقد الباحثون أن الولاء المستمر بين Hotejka ومنصات التسويق بالعمولة التي تتعامل معها منذ سنوات أسهم في تحقيق أرباح ضخمة، إذ تشير التقديرات إلى أن العائدات المتراكمة من هذه الأنشطة بلغت ملايين الدولارات على مدار السنوات الثماني الماضية.
