Адреса URL на новые командные серверы и модули для скачивания прячутся в зашифрованном в картинках, которые приходят с сервера. Искажение картинки выходит совершенно неразличимое на глаз: в каждом пикселе изменяется всего по одному биту каждый цветовой канал. Поскольку антивирус не может расшифровать эти данные, то картинки не считаются вредоносным трафиком.