«Su equipo está bloqueado por Microsoft»: detrás de esa alarmante advertencia se esconde toda una industria de estafas

La página fraudulenta aún no había conseguido atraer a la víctima, pero la dirección ya figuraba como peligrosa desde hacía una semana. Infoblox descubrió cómo localizar con antelación la infraestructura de Help TDS, que a través de Cloudflare Pages dirige a los usuarios a un servicio técnico falso. A mediados de septiembre el sistema detectó más de 16.000 dominios que luego fueron utilizados por el operador.

Help TDS funciona como un sistema de distribución de tráfico y opera al menos desde 2017. Infoblox relaciona con alta certeza la infraestructura actual con el programa de afiliados Hotejka, que considera la continuación de ROI777. Los afiliados atraen visitantes desde sitios comprometidos, publicidad maliciosa, correo no deseado y redes sociales; después TDS comprueba el navegador y la ubicación y selecciona el escenario.

El principal gancho imita una advertencia del sistema. Primero la página solicita una actualización, luego afirma que el equipo Microsoft está supuestamente bloqueado, activa señales sonoras fuertes y dificulta cerrar la ventana del navegador. En la pantalla aparece el número "Microsoft Security". Durante una llamada controlada, Infoblox recibió la instrucción de instalar UltraViewer, que habría dado al operador acceso remoto total al equipo de prueba.

Desde abril de 2026 el operador usa masivamente las direcciones gratuitas pages[.]dev. Según observaciones de Infoblox, el canal de control publica casi 300 nuevas Cloudflare Pages por día, mientras que todo el servicio crea más de 125.000 nuevos subdominios diariamente. En medio año la empresa identificó alrededor de 30.000 páginas relacionadas. Aproximadamente 16.000 aparecieron más tarde en el canal de Help TDS; las restantes podrían haber servido de señuelos o de infraestructura auxiliar.

Para separar cientos de direcciones maliciosas del flujo general, los analistas descompusieron los algoritmos de generación de nombres de dominio. En seis meses el operador cambió alrededor de una docena de esquemas de nombrado. Los nuevos detectores localizan nodos futuros en promedio siete días antes de su publicación. Tras el lanzamiento del mecanismo, la proporción de clientes de la protección en la nube de Infoblox que se enfrentaban a Help TDS se redujo desde el máximo de 4% por día hasta aproximadamente 0,5% en septiembre.

Versiones anteriores de Help TDS ya habían utilizado un complemento malicioso de WordPress, direcciones C2 dinámicas y redirecciones desde sitios infectados. La nueva investigación completa el panorama con el acceso al panel de afiliados Hotejka. El panel contiene el mismo complemento y nuevos señuelos, y los datos DNS y elementos repetitivos de la infraestructura permitieron a Infoblox vincular Hotejka con Help TDS con alta certeza.

El operador sigue cambiando la infraestructura, por lo que la predicción no se reduce a una lista estática de direcciones. Infoblox no revela los indicadores por los que el modelo identifica dominios futuros, para no facilitar la evasión de las defensas. Hotejka también anunció un esquema de instalación forzada de una extensión del navegador, pero al momento de la publicación el mecanismo no ha sido demostrado. Por ahora se trata de un escenario futuro anunciado, no de un ataque confirmado.