สรุปสั้น

บริษัท Infoblox เปิดเผยรายงานที่เชื่อมโยง Help TDS ระบบกระจายทราฟฟิก (Traffic Distribution System) ที่ทำงานมาตั้งแต่อย่างน้อยปี 2560 เข้ากับ Hotejka เครือข่ายพันธมิตร (affiliate program) ภาษารัสเซีย ซึ่งเชื่อว่าเป็นการเปลี่ยนชื่อของ ROI777 ผู้ค้าทราฟฟิกที่เคยถูกเปิดโปงในปฏิบัติการ Operation Prowli เมื่อปี 2561 Help TDS แจกเทมเพลตโค้ด PHP ให้พันธมิตรนำไปฝังในเว็บไซต์ที่ถูกเจาะ แล้วส่งผู้เข้าชมไปยังหน้าหลอกลวงแบบ tech support scam ที่ทำหน้าจอเต็มจอ ปิดไม่ได้ และแสดงคำเตือนความปลอดภัย Windows ปลอมให้โทรหาเบอร์ “ฝ่ายสนับสนุนของ Microsoft”

Infoblox ย้ำว่านี่ไม่ใช่แค่การหลอกเอาเลขบัตรเครดิต เพราะเมื่อเหยื่อโทรไป call center จะชักจูงให้ติดตั้งโปรแกรมรีโมตเดสก์ท็อป ทำให้ผู้โจมตีกลับมาใช้ประโยชน์จากเหยื่อได้ซ้ำแล้วซ้ำเล่า ตั้งแต่เดือนเมษายน 2569 กลุ่มนี้ย้ายหน้าหลอกลวงไปไว้บน Cloudflare Pages ฟรี (*.pages[.]dev) สร้างราว 300 หน้าต่อวัน และตรวจพบแล้วกว่า 20,000 โดเมน โดยมีพันธมิตรราว 20 กลุ่ม เช่น Balada Injector, Detour Dog และ DollyWay ป้อนทราฟฟิกเข้ามา Infoblox ประเมินว่าตลอด 8 ปี Hotejka น่าจะได้ค่าตอบแทนจากแพลตฟอร์มโฆษณาพันธมิตรในยุโรป 2 แห่งอย่างน้อยหลายล้านดอลลาร์สหรัฐ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 15 ตุลาคม 2569 ว่า บริษัท Infoblox ได้แบ่งปันรายงานที่ติดตาม Help TDS ย้อนหลังหลายปี โดยก่อนหน้านี้ในเดือนสิงหาคม 2568 บริษัท GoDaddy เคยรายงานว่า Help TDS ใช้ปลั๊กอิน WordPress อันตรายชื่อ woocommerce_inputs บนเว็บไซต์หลายพันแห่ง เพื่อขโมยข้อมูลล็อกอินของผู้ใช้ WordPress และดึง URL ปลายทางจากเซิร์ฟเวอร์ C2 มาเปลี่ยนเส้นทางผู้เข้าชม โดยพันธมิตรของ Hotejka เป็นผู้ฝังปลั๊กอินหรือ HTML block แบบกำหนดเองลงในเว็บไซต์เหล่านั้น

Infoblox ยังพบว่า Help TDS ส่งทราฟฟิกต่อตรงให้ VexTrio Viper ผู้ให้บริการเครือข่ายพันธมิตรด้านอาชญากรรมไซเบอร์ที่รับงานหลอกลวง riskware สปายแวร์ แอดแวร์ และเนื้อหาลามก ส่วนความเชื่อมโยงกับ ROI777 อาศัยหลักฐานหลายชั้น ทั้งประวัติ DNS การใช้แพลตฟอร์มโฆษณาพันธมิตรเดิมต่อเนื่องหลายปี และกลไก C2 ที่สอดคล้องกัน รวมถึงการที่ GoDaddy พบว่า roi777[.]com เคยเป็นโดเมน C2 ที่ใช้ดึงโดเมนปลายทางระหว่างปี 2561-2563 Infoblox จึงสรุปว่า “มั่นใจในระดับสูง” ว่า ROI777 และ Hotejka เป็นกลุ่มเดียวกัน โดยเชื่อว่าการเปลี่ยนชื่อเกิดจากการรั่วข้อมูลเซิร์ฟเวอร์ของ ROI777 เมื่อมีนาคม 2561 ซึ่งเปิดเผยตัวตน Telegram ของผู้ใช้และรายละเอียดแคมเปญ

ในช่อง Telegram @hotejka_hot ผู้ให้บริการโฆษณาบริการติดตั้งส่วนขยายเบราว์เซอร์แบบบังคับ และหน้า tech support ที่ “ออกได้ยากมาก” โพสต์หนึ่งเมื่อวันที่ 17 กรกฎาคม 2569 อ้างว่า “call center ขนาดเล็กในเยอรมนีรับสายได้วันละ 50-100 สาย” นอกจากนี้ Hotejka ยังใช้ชื่อแฝงต่าง ๆ บนฟอรัมอย่าง CrackingX เพื่อหาซื้อทราฟฟิกจากอีเมลสแปมและสิทธิ์เข้าแผงผู้ดูแล WordPress ในราคาเริ่มต้น 100 ดอลลาร์สหรัฐ

ต่อมาเว็บไซต์ Dark Reading รายงานเมื่อวันที่ 19 ตุลาคม 2569 ว่านักวิจัยของ Infoblox เข้าถึงแผงควบคุมพันธมิตร (affiliate panel) ของ Hotejka ได้โดยตรง แต่ไม่เปิดเผยวิธีเพื่อไม่ให้ผู้ให้บริการตัดช่องทางนั้น ภาพหน้าจอแสดงว่าแผงมีหน้าตาเหมือนเครือข่ายโฆษณาทั่วไป ทั้ง smartlink ข้อเสนอแนะนำสมาชิก และแดชบอร์ดติดตามผล แต่มีลิงก์ตรงไปยังแคมเปญ tech support scam ธีม Microsoft และปลั๊กอิน WordPress อันตรายที่ GoDaddy เคยรายงาน พันธมิตรรายใดก็เลือกแคมเปญหลอกลวงเป็นปลายทางของทราฟฟิกได้เหมือนเลือกโฆษณาทั่วไป นางสาว Renée Burton รองประธานฝ่าย threat intelligence ของ Infoblox ยังโทรไปยังเบอร์บนหน้าเตือนปลอม ปลายสายอ้างตัวเป็นพนักงานซัพพอร์ตของ Microsoft ในบรรยากาศคล้าย call center ที่วุ่นวาย ย้ำหลายครั้งว่าไม่มีค่าใช้จ่าย ให้เธอออกจากระบบแล้วล็อกอินใหม่ จากนั้นสั่งให้เปิดเว็บ ultraviewer[.]net เพื่อดาวน์โหลดโปรแกรมรีโมต สายยาว 13 นาทีถูกพักหลายครั้ง ซึ่งนักวิจัยเชื่อว่าเป็นการคัดกรองเหยื่อ และตัดไปทันทีเมื่อเธอถามว่าทำไมต้องติดตั้งโปรแกรม เธอระบุว่ากลุ่มนี้ควบคุม call center ได้ดี รับสายเฉพาะบางช่วงเวลาและตรวจ IP กับอุปกรณ์ของผู้โทร

นาง Burton ระบุจุดเด่น 3 ข้อของ Help TDS ได้แก่ ตัวล็อกเบราว์เซอร์ที่ปิดการใช้คีย์บอร์ดได้เกือบทั้งหมดพร้อมเสียงพากย์สั่งการ การใช้ช่อง Telegram หมุนชุดโดเมน C2 ใหม่ทุก 5 นาทีมาตลอด 6 เดือน และโมเดลพันธมิตรที่รวมผู้เล่นรายใหญ่ในวงการมัลแวร์เว็บไซต์ เมื่อ Help TDS ย้ายมา Cloudflare Pages Infoblox พบว่าลูกค้าคลาวด์ของบริษัทสูงสุด 4% เจอ Help TDS ภายในวันเดียว และแม้ Infoblox จะแกะอัลกอริทึมสร้างโดเมนจนตรวจจับหน้าใหม่ได้ราว 7 วันก่อนถูกใช้งาน แต่การใช้บัญชี Cloudflare จำนวนมากผิดปกติทำให้ติดตามยาก นอกจากนี้ Help TDS ยังรันบนเซิร์ฟเวอร์ Keitaro ตัวเดิมมาเกือบสิบปี นาง Burton สงสัยว่าเป็นเวอร์ชันแคร็กหรือเวอร์ชันเก่าที่ไม่มีการควบคุมไลเซนส์ แต่ยืนยันไม่ได้เพราะอยู่หลัง Cloudflare Infoblox แจ้งโดเมนบางส่วนพร้อมตัวอย่างทางเทคนิคให้ Cloudflare ตรวจสอบแล้ว

Help TDS linked to Hotejka as over 20,000 Cloudflare Pages domains host tech support scams

วิธีการโจมตี

ห่วงโซ่เริ่มจากพันธมิตรที่มีทราฟฟิกในมือ เช่น ผู้ที่เจาะเว็บไซต์ WordPress หรือผู้ส่งสแปม ส่งผู้เข้าชมเข้า TDS ผ่าน URL พิเศษที่ Hotejka ออกให้ จากนั้น TDS ซึ่งเชื่อว่าสร้างบนแพลตฟอร์มติดตามผลโฆษณา Keitaro จะพิมพ์ลายนิ้วมือเบราว์เซอร์ (browser fingerprinting) และตรวจตำแหน่งที่ตั้ง เพื่อตัดสินว่าจะส่งผู้ใช้ไปทางไหน โดยทั่วไป TDS จะกรองทราฟฟิกตามภูมิศาสตร์ ข้อมูลอุปกรณ์ ชื่อเสียงของ IP และตรวจจับ headless browser ของนักวิจัย

เส้นทางหลักคือหน้า tech support scam ซึ่งเริ่มด้วยหน้าจออัปเดต Windows ปลอม ตามด้วยคำเตือนว่าเครื่องถูก Microsoft ระงับ ห้ามรีสตาร์ต และมีการ “ล็อกเครื่อง” เพื่อสกัดกิจกรรมผิดกฎหมาย เมื่อเหยื่อโทรไป ผู้โจมตีจะสั่งให้ดาวน์โหลดโปรแกรมรีโมตเดสก์ท็อปฟรีอย่าง UltraViewer เพื่อควบคุมเครื่องทั้งหมด จากนั้นใช้เทคนิค living-off-the-land ต่อ ส่วนผู้ใช้ที่ไม่เข้าเกณฑ์จะถูกส่งต่อไปยังแพลตฟอร์มโฆษณาพันธมิตรอื่นเพื่อขายทราฟฟิกต่อ ซึ่งมักจบที่หน้า CAPTCHA ปลอมที่หลอกให้กดอนุญาต push notification สแปม

การย้ายมาใช้ Cloudflare Pages ทำให้กลุ่มนี้ได้โดเมนที่มีชื่อเสียงดีของผู้ให้บริการรายใหญ่โดยไม่เสียค่าใช้จ่าย และสร้างหน้าทิ้งได้วันละหลายร้อยหน้า การบล็อกทีละโดเมนจึงตามไม่ทัน

ผลกระทบ

Help TDS แสดงให้เห็นว่าเว็บไซต์ WordPress ที่ถูกเจาะไม่ได้เสียหายแค่เจ้าของเว็บ แต่กลายเป็นทางป้อนเหยื่อให้เศรษฐกิจใต้ดินที่แบ่งงานกันชัดเจน ตั้งแต่ผู้เจาะเว็บ ผู้กระจายทราฟฟิก ไปจนถึง call center ที่ปิดการขาย ผลที่ตามมากับผู้ใช้ไม่ใช่การเสียเงินครั้งเดียว แต่เป็นการสูญเสียการควบคุมเครื่องให้ผู้โจมตีที่เข้าออกได้ตามต้องการ ผู้สูงอายุและผู้ใช้ที่ไม่คุ้นเคยกับเทคโนโลยีเป็นกลุ่มเสี่ยงสูงสุด

สำหรับฝั่งองค์กร การที่หน้าหลอกลวงอยู่บน pages.dev ทำให้ระบบกรองเว็บที่พึ่งชื่อเสียงโดเมนอาจปล่อยผ่าน และการที่พนักงานติดตั้งโปรแกรมรีโมตตามคำสั่งคนแปลกหน้าเปิดทางให้ผู้โจมตีเข้าเครือข่ายภายในโดยไม่ต้องใช้ช่องโหว่ใดเลย

คำแนะนำ

  • เจ้าของเว็บไซต์ WordPress ตรวจหาปลั๊กอินแปลกปลอม (เช่น woocommerce_inputs) และ HTML block ที่ไม่ได้เพิ่มเอง เปลี่ยนรหัสผ่านผู้ดูแล เปิด MFA และอัปเดตปลั๊กอินทั้งหมด
  • องค์กรควรจำกัดการติดตั้งโปรแกรมรีโมตเดสก์ท็อป (UltraViewer, AnyDesk, TeamViewer ฯลฯ) ด้วย application allowlisting และแจ้งเตือนเมื่อพบการติดตั้งใหม่ใน EDR
  • พิจารณาบล็อกหรือตรวจเข้มทราฟฟิกไปยัง *.pages.dev ที่ไม่มีเหตุผลทางธุรกิจ และใช้ DNS security ที่ตรวจจับโดเมนใหม่/โดเมนทิ้ง
  • จำกัดสิทธิ์ push notification ของเบราว์เซอร์ผ่าน policy บนเครื่องที่บริหารจัดการ
  • สื่อสารกับพนักงานและครอบครัวว่า Microsoft ไม่แสดงเบอร์โทรบนหน้าเว็บให้โทรกลับ หากเจอหน้าจอเตือนเต็มจอให้ปิดเบราว์เซอร์ผ่าน Task Manager และห้ามโทรหรือติดตั้งโปรแกรมตามคำบอก

แหล่งอ้างอิง