Dans le détail, Help TDS joue les intermédiaires entre les cybercriminels qui attirent les victimes et les escrocs qui cherchent à leur soutirer de l’argent ou à prendre le contrôle de leur ordinateur. Les premiers alimentent le système grâce à des sites piratés, des extensions WordPress malveillantes, des publicités frauduleuses ou des campagnes de spam. Help TDS analyse ensuite le profil des internautes pour les orienter soit vers une pseudo assistance technique Microsoft, soit vers d’autres réseaux qui rachètent le trafic pour l’exploiter à leur tour.

Pour les opérateurs du faux support, il s’agit de transformer ces visites en appels téléphoniques. Une prétendue mise à jour Windows laisse place à un avertissement de sécurité affirmant que l’ordinateur a été bloqué. Alertes sonores, messages en plein écran, fermeture du navigateur entravée : les escrocs multiplient les moyens de pression pour convaincre les internautes que leur PC est inutilisable et les pousser à composer le numéro d’assistance affiché.

Au bout du fil, de soi-disant techniciens Microsoft proposent de résoudre le problème, généralement en invitant leurs interlocuteurs à installer un logiciel de prise en main à distance, comme UltraViewer. Une fois l’accès autorisé, ils peuvent contrôler l’ordinateur, consulter les fichiers personnels, dérober des informations sensibles ou installer des logiciels malveillants.

Pour alimenter ces opérations, Help TDS s’appuie sur une infrastructure que ses opérateurs renouvellent en permanence. Infoblox attribue son exploitation à Hotejka, un programme d’affiliation russophone lié à une activité cybercriminelle documentée dès 2017, qui recherche notamment du trafic en provenance de France et de Belgique.

Depuis avril 2026, le réseau exploite Cloudflare Pages, un service gratuit d’hébergement web, pour créer quelque 300 nouvelles adresses par jour. Communiquées à ses affiliés sur Telegram, elles ne sont généralement accessibles que pendant une semaine, ce qui complique leur blocage. En six mois, Infoblox a ainsi recensé plus de 20 000 sous-domaines associés au réseau, dont les activités auraient généré plusieurs millions de dollars depuis près de dix ans.