Denis Sinegubko figyelt fel elsőként az eltérített Linux szerverekből álló hálózatra, amely tulajdonképpen szinte észrevétlenül mĹąködik, a fertőzés egyetlen jele a 8080-as porton keresztüli természetellenes adatáramlás. Egyelőre teljes homály fedi az esetet, ugyanis maga a zombihálózat felfedezője is csak találgat azt illetően, hogy mégis hogyan tudtak ismeretlenek megkaparintani több száz Linux szervert. Sinegubko azt feltételezi, hogy egy illetéktelenül megszerzett admin jelszó segítségével hajtottak végre sikeres támadást a rendszerek ellen a bĹąnözők. A szakember akkor észlelte a botnetet, amikor számos ismert, kártevőt tartalmazó weboldal frissült, és megváltozott azok hosztja, vagyis már nem kínai IP-tartományra volt visszavezethető azok eredete, hanem az említett Linux hálózatra.
Miután Sinegubko értesítette a megfertőzött rendszerek üzemeltetőit, azok nyomban kitöröltek több mint száz hosztnevet az adatbankból, de a hackerek is résen voltak, és rögvest újakat regisztráltak.