Keitaro — self-hosted трекер и TDS от компании Apliteni, работает с 2012 года, стоит от 49 € в месяц. 15 октября 2026 Infoblox опубликовала отчёт, который связал Keitaro с многолетней мошеннической операцией Help TDS.
Infoblox считает, что за схемой стоит партнёрская программа Hotejka — ребрендинг ROI777, разоблачённой в 2018 году. Help TDS с самого начала работала на базе Keitaro. 12 октября компания разослала письма о новых условиях, которые вступили в силу на следующий день. В статье — что нашли исследователи, как устроена схема, при чём тут Apliteni и что изменилось после писем.
Коротко
- Infoblox связала Keitaro с мошеннической операцией Help TDS: за шесть месяцев злоумышленники создали более 20 000 доменов на Cloudflare Pages (около 300 новых в день), чтобы перенаправлять жертв на фейковые страницы техподдержки Microsoft
- За схемой, по оценке исследователей, стоит партнёрка Hotejka (ребрендинг ROI777), которая получила несколько миллионов долларов от двух европейских партнёрок
- Apliteni в соучастии не обвиняют: трекер работает на сервере пользователя, краденые лицензии используют продвинутые преступники, компания оперативно реагировала на запросы Infoblox
- 12 октября 2026 Keitaro разослала новые условия (вступили в силу 13 октября): связанная блокировка аккаунтов, телеметрия кампаний и офферов, возможная проверка KYC/KYB
- Альтернативы: Binom v2 от $104 в месяц, Voluum Profit от $119, RedTrack от $69 при оплате за год
Что такое Keitaro tracker и кто за ним стоит
Keitaro разрабатывает и продаёт компания Apliteni с 2012 года. Afftimes за сентябрь 2026 называет тарифы от 49 € в месяц. Трекер устанавливается на собственный сервер и включает:
- TDS (распределение трафика по условиям): арбитражник настраивает правила, кого куда отправлять — по гео, устройству, источнику
- управление потоками: одна кампания, несколько лендингов или офферов, ротация по весам
- постбэки: трекер получает от партнёрки данные о конверсии и привязывает к клику
- отслеживание кликов и конверсий: вся статистика в одном интерфейсе
Для арбитражника это значит: можно купить трафик, распределить его между офферами и увидеть, где профит, а где слив, не заходя в кабинеты партнёрок.
Help TDS — мошенническая TDS, которая ведёт трафик на фейковые страницы техподдержки. Infoblox оценивает оператора как Hotejka, небольшую русскоязычную партнёрскую программу, вероятный ребрендинг ROI777, которую разоблачили в 2018 году. Help TDS изначально была развёрнута на сервере Keitaro, и исследователи считают, что эта связь сохраняется.
Infoblox не обвиняет Apliteni в соучастии. В отчёте сказано, что Help TDS работает на Keitaro, а не что компания участвовала в схеме. В марте 2026 Infoblox писала: с августа 2025 года исследователи сообщили о более чем сотне доменов, и Apliteni быстро и тщательно отреагировала на каждый запрос; краденые лицензии широко используются, особенно продвинутыми преступниками. LinkedIn сообщает: после отчёта о TA2726 компания заблокировала всю сеть аккаунтов и лицензий, связанных с этим злоумышленником. Трекер работает на собственном сервере пользователя, и контроль над тем, как его применяют, ограничен.
Что нашла Infoblox: Help TDS, Hotejka и Cloudflare Pages
15 октября 2026 Infoblox опубликовала отчёт, в котором связала более 20 000 доменов Cloudflare Pages с операцией Help TDS. Отчёт указывает: эти домены появились за последние шесть месяцев. Gridinsoft уточняет: около 300 новых доменов в день на фоне более 125 000 поддоменов Pages, которые создаются ежедневно во всём сервисе. К середине сентября 2026, по данным отчёта, число доменов составляло около 16 000; к моменту публикации 15 октября — уже более 20 000.
Отчёт Infoblox указывает: около 20 аффилиатов поставляют трафик. Infoblox оценивает, что Hotejka получила как минимум несколько миллионов долларов от двух европейских партнёрских программ.
Как работает схема с фейковой техподдержкой
Сначала жертва видит уведомление о необходимом обновлении и перезагрузке ПК. Затем на весь экран выводятся предупреждения: Microsoft заблокировала компьютер. На странице — номер телефона «техподдержки».
Исследователи позвонили. Собеседник представился поддержкой Microsoft, несколько раз повторил, что услуга бесплатная, и спросил, личный компьютер или рабочий.
Infoblox пишет: речь не о мелких кражах карт, а об удалённом доступе. Вице-президент Infoblox Threat Intel Renée Burton добавляет: «Тех-саппорт-скам часто ассоциируют с ненужным антивирусом и мелкими кражами карт». Здесь ставки выше: злоумышленники получают контроль над компьютером жертвы.
Хронология: от ROI777 до отчёта октября 2026
| Дата | Событие | Источник |
|---|---|---|
| март 2018 | Утечка данных ROI777 на pastebin | Infoblox |
| июнь 2018 | Guardicore Labs раскрывает ROI777 в связи с Operation Prowli | The Hacker News |
| сентябрь 2020 | Hotejka рекламирует партнёрку в открытом интернете | Infoblox, Cybersecuritynews |
| 19 марта 2026 | Первый отчёт Infoblox о злоупотреблениях Keitaro | Intelligent CISO, SecurityLab |
| 26, 31 марта, 10 апреля 2026 | Ещё три отчёта Infoblox и Confiant | Infoblox |
| апрель 2026 | Переход на Cloudflare Pages | Gridinsoft |
| 12 октября 2026 | Письмо Keitaro о новых условиях | PressAff |
| 15 октября 2026 | Отчёт Infoblox о Help TDS | Infoblox, The Hacker News |
Основные события от ROI777 до публикации отчёта 15 октября 2026 года
В марте 2018 на pastebin выложили данные со взломанных серверов ROI777: Telegram-аккаунты пользователей и сведения о кампаниях. Из этих данных видно, что злоумышленник использовал Keitaro (Infoblox). В июне 2018 Guardicore Labs (сейчас часть Akamai) раскрыла ROI777 в связи с кампанией Operation Prowli (The Hacker News).
В апреле 2026 операция переходит на инфраструктуру Cloudflare Pages (Gridinsoft). 12 октября 2026 Keitaro разослала письмо о новых условиях использования, которые вступили в силу 13 октября (PressAff). 15 октября Infoblox публикует отчёт о Help TDS и Hotejka.
ROI777 по оценке Infoblox использовал Keitaro с 2017 года; связь Hotejka с ROI777 — тоже оценка исследователей, а не подтверждённый факт.
Новые условия использования Keitaro с 13 октября
12 октября 2026 Keitaro разослала письмо о новых условиях использования (PressAff). Они вступили в силу на следующий день.
Что изменилось: аккаунт, ID установки, IP сервера, домены и способ оплаты теперь связываются между собой. Если нарушение обнаружено на одном аккаунте, могут заблокировать все связанные.
Телеметрия собирает названия кампаний, офферов и потоков. Данные хранятся до двух лет, при расследованиях — до трёх. Возможна проверка KYC/KYB: документы, источник средств и бенефициары. Особое внимание — при подозрении на обход санкций ЕС.
Пункт о блокировке без возврата денег в найденных источниках не подтверждён. Afftimes указывает: есть 14-дневный период возврата для первой покупки, но на продление лицензии он не распространяется. Перед тем как опираться на эту информацию, нужно сверить с текстом соглашения.
Что это значит для арбитражника и какие есть альтернативы
Новые условия Keitaro добавляют риски. Связанная блокировка аккаунтов: одна ошибка или нарушение — под удар попадают все установки. Телеметрия собирает названия кампаний и офферов. KYC/KYB — процедура, к которой не все готовы, особенно при проверке источника средств и бенефициаров.
| Трекер | Цена | Особенности | Источник |
|---|---|---|---|
| Keitaro | от 49 € в месяц | Self-hosted, связь с мошенническими операциями | Afftimes |
| Binom v2 | $104–149/мес | Self-hosted, до 260 млн кликов/день | LeadJourney |
| Binom Cloud | $299/мес | Облако | LeadJourney |
| Voluum Profit | $119–149/мес* | Облако, 1 млн событий | LeadJourney, ClickerVolt |
| RedTrack | $69–83 при оплате за год | Облако | LeadJourney, Track360 |
Сравнение трекеров и TDS на октябрь 2026 года
Binom v2 — $149 в месяц или $104 при оплате за год, до 260 миллионов кликов в день. Binom Cloud — $299 в месяц (LeadJourney, 2 октября 2026). RedTrack — от $69 при оплате за год (LeadJourney). Track360 указывает $83 в мае 2026. ClickerVolt называет Voluum Profit $149 в месяц, LeadJourney — $119.
Заключение
Отчёт Infoblox от 15 октября 2026 — не первое и, судя по хронологии, не последнее расследование, связавшее Keitaro с мошенническими кампаниями. Более 20 000 доменов за полгода, несколько миллионов долларов выручки операторов Help TDS, фейковые страницы техподдержки Microsoft — масштаб серьёзный. Apliteni в соучастии не обвиняют, но ROI777 по оценке Infoblox использовал Keitaro с 2017 года, связь Hotejka с ROI777 — тоже оценка; письмо от 12 октября вступило в силу на следующий день после серии публикаций о злоупотреблениях.
Проверьте, что записано в условиях Keitaro перед продлением лицензии: связанная блокировка аккаунтов, телеметрия с названиями кампаний и офферов, возможная проверка KYC/KYB.
