Serveri ku janë ruajtur kredencialet e ka marrë informacionin nga një adresë e vetme IP në Holandë, çka tregon se sulmuesit mund të kenë përdorur një gateway ose një reverse proxy mes kompjuterëve të infektuar dhe serverit komando dhe kontrollo.