Informację o działaniach irańskich służb ujawniła holenderska stacja radiowa NPO Radio 1. Odkrycia dokonano przypadkowo, po tym jak jeden z irańskich działaczy opozycyjnych otrzymał zainfekowany plik od użytkownika komunikatora internetowego Telegram. Odbiorca nie otworzył dokumentu, lecz zwrócił się z prośbą o pomoc do ekspertów od cyberbezpieczeństwa. Ci zauważyli, iż przesłany plik jest zainfekowany złośliwym oprogramowaniem, które już wcześniej wykorzystywały irańskie służby specjalne. Malware oprócz tego, że nagrywał rozmowy, dodatkowo wykonywał zrzuty ekranu.

Wykryty przez Bitdefendera serwer to typowy przykład urządzeń Command and Control (C&C). Ich rola polega na kontrolowaniu botnetu, wysyłaniu szkodliwego oprogramowanie i regulowaniu pracą oprogramowania szpiegowskiego. Co ciekawie, serwer kontrolował pracę przejętych komputerów nie tylko w Holandii, ale również Szwecji, Niemczech, Indiach i kilku innych krajach.

Zainfekowany plik został dostarczony za pośrednictwem serwera internetowego znajdującego się w holenderskim mieście Haarlem. Bitdefender stwierdził, że serwer należy do rumuńskiego dostawcy usług, który jest zarejestrowany na Cyprze.