Hotejka تستغل 20,000+ نطاق Cloudflare Pages في عمليات احتيال الدعم التقني
كشفت تقارير أمنية عن استغلال نظام Help TDS، المرتبط ببرنامج Hotejka التابع، لأكثر من 20,000 نطاق Cloudflare Pages مجاني لتنفيذ عمليات احتيال الدعم التقني منذ أبريل 2026، مما يؤكد استمرارية عمليات ROI777 السابقة.
مقدمة تحليلية
استغلت عمليات احتيال الدعم التقني أكثر من 20,000 نطاق Cloudflare Pages مجاني (*.pages[.]dev) منذ أبريل 2026، بمعدل يصل إلى 300 صفحة مؤقتة يومياً. هذه الأنشطة مرتبطة بنظام توزيع حركة المرور (TDS) المعروف باسم Help TDS، والذي يُشتبه في كونه جزءاً من برنامج التابعين الروسي Hotejka، ويعتقد أنه إعادة تسمية لعملية ROI777 القديمة. نشاط Help TDS مستمر منذ عام 2017 على الأقل، ويوجه المستخدمين المطمئنين نحو مراكز اتصال وهمية لإيهامهم بمشاكل أمنية مزعومة في أنظمة التشغيل، مما يسلط الضوء على استمرارية التهديدات السيبرانية وتطورها في استغلال البنى التحتية المجانية والضعيفة.
التحليل التقني
يعمل نظام Help TDS، وهو نشط منذ عام 2017، على تقديم قوالب أكواد PHP لشركائه والتابعين لتثبيتها في المواقع المخترقة. الهدف هو إعادة توجيه المستخدمين إلى صفحات احتيال الدعم التقني، التي تستخدم تلاعبات كاملة الشاشة في المتصفح وتقنيات منع الخروج لعرض تنبيهات أمنية مزيفة لنظام Microsoft Windows. هذه التنبيهات توجه الضحايا للاتصال برقم دعم فني لحل المشكلة المزعومة. وفقاً لشركة Infoblox، تُستخدم الهندسة الاجتماعية في مراكز الاتصال لإقناع الضحايا بتثبيت أدوات سطح مكتب بعيدة مثل Ultraviewer، مما يمنح المهاجمين سيطرة كاملة على الجهاز المصاب.
وثقت GoDaddy في أغسطس 2025 تطور Help TDS، مشيرة إلى استخدام ممثل التهديد لإضافة ووردبريس خبيثة باسم "woocommerce_inputs" على آلاف المواقع لسرقة بيانات اعتماد المستخدمين وتسهيل إعادة التوجيهات الخبيثة بجلب عناوين URL من خوادم التحكم والسيطرة (C2) الخاصة بهم. يتم حقن هذه الإضافة، أو كتلة HTML مخصصة، في المواقع بواسطة تابعي Hotejka. وقد كشفت عمليات تتبع سلاسل إعادة التوجيه الخبيثة أن Help TDS قد سلمت حركة المرور بشكل روتيني إلى VexTrio Viper، وهو مشغل جرائم إلكترونية يدير برنامج تابعين لتسهيل الاحتيال والبرامج الخطرة والتجسس والإعلانية والمحتوى الإباحي.
يُعتقد أن نظام TDS هذا مبني على Keitaro، وهي منصة لتتبع أداء الإعلانات معروفة بإساءة استخدامها من قبل ممثلي التهديد. تتضمن بعض إغراءات Help TDS الأولية تنبيهات بتحديث وشيك لنظام Windows، يليها تحذير بأن الجهاز قد تم تعطيله بواسطة Microsoft، مع توجيهات بعدم إعادة تشغيل الكمبيوتر، وأن "قفل الكمبيوتر" قد تم وضعه لمنع النشاط غير القانوني. تتضمن خطوة البصمة الرقمية للمتصفح تحديد ما إذا كان سيتم توجيه المستخدم إلى عملية احتيال الدعم الفني أو إلى منصة تسويق تابعة أخرى، والتي بدورها تقوم بتقييم الجهاز مرة أخرى وإعادة بيع حركة المرور. تؤدي هذه المسارات إلى صفحات هبوط احتيالية مع فحوصات CAPTCHA مزيفة لتسجيل متصفح الضحية في رسائل البريد العشوائي للإشعارات الفورية.
استغلال Cloudflare Pages
منذ أبريل 2026، تعمل هذه العمليات الاحتيالية على مواقع Cloudflare Pages المجانية (*.pages[.]dev). يقوم ممثل التهديد بإنشاء ما يقرب من 300 صفحة مؤقتة يومياً، وقد تم اكتشاف أكثر من 20,000 نطاق من هذا النوع منذ ذلك الحين. الرسائل التي نشرها Hotejka على قناته في Telegram (@hotejka_hot) تبرهن على نيته الإجرامية من خلال الإعلان عن عمليات تثبيت قسرية لإضافات المتصفح وصفحات هبوط الدعم التقني التي "يصعب جداً الخروج منها". في أحد المنشورات بتاريخ 17 يوليو 2026، ادعى المشغل أن "مركز اتصال صغيراً في ألمانيا سيتعامل مع 50-100 مكالمة يومياً".
السياق وتأثير السوق
تربط أحدث النتائج Help TDS بـ Hotejka، والتي بدورها يُشتبه في أنها خليفة ROI777. هذه الكيان الأخير كشفت عنه Guardicore Labs (التي أصبحت الآن جزءاً من Akamai) في يونيو 2018، لارتباطه بحملة التلاعب بحركة المرور وتعدين العملات المشفرة، والتي أُطلق عليها اسم "Operation Prowli". تضمنت تلك الحملة اختراق خوادم ضعيفة لنشر برمجية خبيثة باسم r2r2، ثم استغلالها لتعدين العملات المشفرة. بالتزامن مع ذلك، تم استغلال مواقع ووردبريس والخوادم التي تشغل أنظمة إدارة محتوى أخرى (CMS) لأغراض الاحتيال المالي عبر حركة المرور.
لاحظت Guardicore Labs حينها أن "ممونّي حركة المرور، مثل ROI777، يشترون حركة المرور من 'مشغلي المواقع' مثل مهاجمي Prowli ويعيدون توجيهها إلى نطاقات حسب الطلب." يحصل "مشغلو المواقع" على أموال مقابل حركة المرور المرسلة عبر ROI777، وغالباً ما تستضيف النطاقات المستهدفة عمليات احتيال مختلفة، مثل الخدمات المزيفة وإضافات المتصفح الخبيثة والمزيد. يُعتقد أن إعادة التسمية كانت مدفوعة بتسريب بيانات من خوادم ROI777 في مارس 2018، تقريباً في الوقت الذي كانت فيه تعمل Disposable TDS، وهي سلف لـ Help TDS. تضمنت التفاصيل المنشورة هويات مستخدمي Telegram وتفاصيل حملات متعددة. لا يتوقف الارتباط بين Hotejka و ROI777 عند هذا الحد، فقد وجدت GoDaddy أن roi777[.]com كان أحد نطاقات C2 التاريخية المستخدمة بين عامي 2018 و 2020 لجلب نطاقات إعادة التوجيه.
تتراوح فروع Hotejka من مشغلي البريد العشوائي إلى مخترقي المواقع، حيث يرسلون حركة المرور المحتملة للضحايا إلى نظام TDS عبر عناوين URL خاصة توفرها Hotejka. يقوم TDS بعد ذلك بتقييم المستخدم عبر البصمة الرقمية للمتصفح والموقع لتحديد مسار العمل. على مدار السنوات الثماني الماضية، ومع استخدام حجم سجلات DNS وقدرة تتبع حركة المرور عبر معرفات التابعين، تشير التقديرات إلى أن البرنامجين الأوروبيين قد دفعا لهما "ما لا يقل عن بضعة ملايين من الدولارات الأمريكية". في المجمل، يرسل حوالي 20 تابعاً مختلفاً، بما في ذلك Balada Injector (يناير 2024)، و Detour Dog (أكتوبر 2025)، و DollyWay (مارس 2025)، حركة المرور إلى Help TDS. تستهدف هذه العمليات مواقع ووردبريس بشكل مكثف لإعادة توجيه الضحايا إلى عمليات الاحتيال والبرمجيات الخبيثة.
رؤية Glitch4Techs
تؤكد قصة Hotejka/ROI777 فشلاً مؤسسياً متواصلاً في مكافحة الجريمة السيبرانية المنهجية. لقد أظهرت هذه العملية قدرة لا مثيل لها على التكيف والعمل دون عقاب لسنوات، منذ عام 2017، وجمع "بضعة ملايين من الدولارات الأمريكية" خلال هذه الفترة. إن القدرة على إنشاء أكثر من 20,000 نطاق Cloudflare Pages مجاني منذ أبريل 2026، بمعدل 300 صفحة يومياً، مع الإفلات من العقاب، يسلط الضوء على ثغرة حقيقية في البنى التحتية المجانية وفعالية آليات التتبع والإزالة. هذا ليس مجرد انتهاك فردي، بل هو نموذج عمل إجرامي راسخ يستفيد من عدم كفاية الردود الأمنية والرقابية، محولاً المنصات المتاحة مجاناً إلى أدوات للاحتيال المربح على نطاق واسع.
كن أول من يعرف بمستقبل التقنية
أهم الأخبار والتحليلات التقنية مباشرة في بريدك.
