20 Binden Fazla Cloudflare Sayfasında Destek Dolandırıcılığı Riski

Siber güvenlik dünyası, uzun süredir aktif olan ve Hotejka adlı Rusça tabanlı bir iştirak programıyla bağlantılı Help TDS isimli Trafik Dağıtım Sistemi’nin faaliyetlerini yakından inceliyor. Özellikle 20.000’den fazla Cloudflare Pages alan adının bu sistem aracılığıyla teknik destek dolandırıcılığı kampanyalarına ev sahipliği yapması, dijital güvenlik tehditlerinin geldiği noktayı gözler önüne seriyor. Bu karmaşık yapı, kurbanları sahte güvenlik uyarıları ve uzaktan erişim tuzağına düşürerek ciddi mağduriyetlere yol açıyor.

Köklü Bir Tehdidin Evrimi: Help TDS ve Hotejka

Help TDS, en az 2017’den bu yana aktif olduğu değerlendirilen köklü bir siber suç şebekesi. Bu sistem, ortaklarına ve iştiraklerine PHP kodu şablonları sunarak, ele geçirilmiş web sitelerine bu kodların yüklenmesini sağlıyor. Amaç, şüphelenmeyen internet kullanıcılarını teknik destek dolandırıcılığı sayfalarına yönlendirmek. Help TDS’nin evrimi, aslında ROI777 olarak bilinen ve daha sonra Hotejka olarak yeniden markalaşan bir trafik para kazanma operasyonuna dayanıyor. ROI777, Guardicore Labs tarafından Haziran 2018’de “Operation Prowli” kod adlı bir trafik manipülasyonu ve kripto para madenciliği kampanyasıyla ifşa edilmişti. Bu operasyonda, r2r2 adlı kötü amaçlı yazılımı dağıtmak ve ardından kripto para madenciliği yapmak için savunmasız sunucular ele geçiriliyordu. Aynı zamanda, WordPress siteleri ve diğer içerik yönetim sistemlerini (CMS) çalıştıran sunucular da trafik para kazanma dolandırıcılığı için istismar ediliyordu.

ROI777’nin sunucularından elde edilen verilerin Mart 2018’de sızdırılmasıyla birlikte, sistemin o dönemde Help TDS’nin öncüsü olan Disposable TDS’yi işlettiği ortaya çıktı. Sızdırılan bilgiler arasında kullanıcıların Telegram kimlikleri ve çok sayıda kampanya detayı da yer alıyordu. Hotejka ile ROI777 arasındaki bu bağlantı, GoDaddy tarafından 2018 ile 2020 yılları arasında yönlendirme alan adlarını almak için kullanılan tarihi komuta ve kontrol (C2) alan adlarından birinin “roi777[.]com” olmasıyla daha da pekişiyor. Bu yeniden markalaşma stratejisi, siber suçluların tespit edilmekten kaçınmak ve faaliyetlerini sürdürmek için sürekli adaptasyon yeteneklerini gözler önüne seriyor.

Sinsi Yönlendirme Mekanizmaları ve Siber Ağ Geçitleri

Help TDS, kurbanları tuzağa düşürmek için çeşitli teknik mekanizmalar kullanıyor. Sistem, ele geçirilmiş web sitelerine, genellikle Hotejka iştirakleri tarafından enjekte edilen özel PHP kodu şablonları veya özel HTML blokları yerleştiriyor. GoDaddy’nin Ağustos 2025’te belgelediği üzere, tehdit aktörleri binlerce web sitesinde “woocommerce_inputs” adında kötü amaçlı bir WordPress eklentisi kullanmış durumda. Bu eklenti, WordPress kullanıcı kimlik bilgilerini çalmanın yanı sıra, komuta ve kontrol (C2) sunucularından URL’leri alarak kötü amaçlı yönlendirmeleri kolaylaştırıyor. Bu sayede, ziyaretçiler farkında olmadan sahte teknik destek sayfalarına doğru tünellendiriliyor.

Malicious redirections, kullanıcıların bekledikleri içeriğe ulaşmak yerine, aniden tam ekran tarayıcı manipülasyonu ve çıkış önleme teknikleri kullanan sayfalara yönlendirilmesiyle gerçekleşiyor. Help TDS’nin trafik akışını doğrudan VexTrio Viper gibi diğer siber suç operatörlerine aktardığı da tespit edildi. VexTrio Viper da kendi iştirak programını işletiyor ve çeşitli dolandırıcılık, riskware, casus yazılım, reklam yazılımı ve pornografik içerik dağıtımını sağlıyor. Bu karmaşık ağ, siber suç ekosisteminin ne kadar iç içe geçmiş ve birbirine bağımlı olduğunu gösteriyor; bir operasyonun başarısı, diğerinin trafik sağlama veya hedefleme yeteneğine bağlı olabiliyor.

Kurbanları Hedef Alan Sosyal Mühendislik Taktikleri

Help TDS’nin nihai amacı, kullanıcıları korkutarak ve manipüle ederek teknik destek dolandırıcılığına ikna etmektir. Yönlendirilen sayfalarda, genellikle sahte Microsoft Windows güvenlik uyarısı ekranları belirir ve kurbanlara, sorunu çözmek için belirli bir Windows Destek numarasıyla iletişime geçmeleri talimatı verilir. Bu uyarılar, genellikle tam ekran modunda çalışır ve kullanıcının sayfayı kapatmasını veya geri dönmesini engelleyen teknikler içerir, böylece kurban üzerinde panik ve çaresizlik hissi yaratılır.

Bu dolandırıcılıklar sadece basit bir kredi kartı sahtekarlığının ötesine geçiyor. Kullanıcılar belirtilen numarayı aradıklarında, sosyal mühendislik taktikleri kullanılarak uzaktan masaüstü araçları yüklemeleri için ikna ediliyorlar. Bu araçlar aracılığıyla tehdit aktörleri, mağdurun sistemine tam erişim sağlayabiliyor. Bu durum, saldırganın kurbanı tekrar tekrar istismar etmesine olanak tanıyan, sistem üzerinde yaşayan bir kötü amaçlı yazılım operasyonuna dönüşüyor. Hassas kişisel verilerin çalınması, banka hesaplarına erişim veya fidye yazılımı saldırıları gibi çok daha ciddi sonuçlar doğurabiliyor. 20.000’den fazla Cloudflare Pages alan adının bu tür kampanyalara ev sahipliği yapması, tehdidin genişliğini ve ciddi boyutunu vurguluyor.

Dijital Güvenliği Korumak İçin Adımlar

Bu tür teknik destek dolandırıcılıklarına karşı korunmak için kullanıcıların dikkatli olması büyük önem taşıyor. Öncelikle, tarayıcınızda aniden beliren ve sizden hemen bir numarayı aramanızı isteyen güvenlik uyarılarına karşı son derece şüpheci yaklaşın. Bilgisayarınızın ekranında beliren ve “virüs tespit edildi” veya “sisteminiz kilitlendi” gibi ifadeler içeren bildirimler, genellikle bir dolandırıcılık girişimidir. Microsoft veya diğer meşru teknoloji şirketleri, genellikle bu tür acil durum uyarıları aracılığıyla kullanıcılarla iletişime geçmez.

Eğer böyle bir durumla karşılaşırsanız, panik yapmak yerine tarayıcınızı görev yöneticisi üzerinden kapatmayı deneyin. Asla ekranda verilen numarayı aramayın ve herhangi bir uzaktan erişim yazılımı kurmayın. Resmi destek numaralarını ve yardım kaynaklarını doğrudan şirketin kendi web sitesi üzerinden teyit edin. Ayrıca, işletim sisteminizi ve tüm yazılımlarınızı güncel tutmak, güçlü ve benzersiz parolalar kullanmak, iki faktörlü kimlik doğrulamayı aktif etmek ve güvenilir bir antivirüs programı kullanmak gibi temel siber güvenlik önlemlerini ihmal etmeyin. Bu basit adımlar, dijital varlıklarınızı koruma yolunda önemli birer kalkan görevi görür.

Siber Suç Ekosisteminde Yeniden Markalaşma ve Süreklilik

Help TDS ve Hotejka’nın hikayesi, siber suç dünyasında yeniden markalaşmanın ve sürekli adaptasyonun ne kadar yaygın bir taktik olduğunu gösteriyor. ROI777’den Hotejka’ya geçiş, sadece bir isim değişikliği değil, aynı zamanda siber suçluların yasal otoritelerin ve güvenlik araştırmacılarının takibinden kaçınma çabasının da bir göstergesi. Bu tür trafik dağıtım sistemleri, karmaşık iştirak ağları aracılığıyla faaliyet göstererek, dolandırıcılık, kötü amaçlı yazılım dağıtımı ve diğer siber suç türleri için bir altyapı görevi görüyor.

20.000’den fazla Cloudflare Pages alan adının bu operasyonlar için kullanılması, meşru platformların kötüye kullanımının ulaştığı ölçeği gözler önüne seriyor. Bu durum, Cloudflare gibi hizmet sağlayıcılar için de büyük bir mücadele alanı yaratıyor; kötü niyetli aktörleri tespit etmek ve platformlarını temiz tutmak sürekli bir çaba gerektiriyor. Siber suçluların bu adaptasyon yeteneği, güvenlik topluluğunun da sürekli olarak yeni tehdit modellerini anlaması ve bunlara karşı proaktif çözümler geliştirmesi gerektiğini ortaya koyuyor. Dijital ekosistemde güvenliği sağlamak, yalnızca teknik önlemlerle değil, aynı zamanda kullanıcı farkındalığı ve sektörler arası iş birliğiyle mümkün olabiliyor.