Дослідники кібербезпеки пов’язали давню систему перерозподілу трафіку Help TDS із російськомовною партнерською програмою Hotejka, яка є ребрендингом мережі ROI777. Допоміжна інфраструктура використовує складний аналіз відбитків браузера користувачів для перенаправлення відвідувачів на фальшиві попередження служби підтримки Microsoft та шахрайські кол-центри.

З квітня 2026 року зловмисники задіяли понад 20 000 доменів на платформі Cloudflare Pages, створюючи щодня близько 300 тимчасових сайтів для розгортання шкідливого ПЗ та соціальної інженерії. До цієї мережі залучено близько 20 партнерських угруповань, а загальний прибуток організаторів за роки роботи оцінюється в мільйони доларів.