Um das Netzwerk der infizierten Geräte zu kontrollieren, nutzten die Angreifer eine C&C-Infrastruktur mit über 60 Domains und mehreren Servern in verschiedenen Ländern, darunter vorwiegend Deutschland und Russland. Letzten Endes dienten diese als Proxy-Server. Neben Arbeitsstationen nahmen die Angreifer auch andere Systeme wie Smartphones von Apple, Nokia und Windows-Phones sowie die Netzwerkinfrastruktur von Cisco ins Visier.