Неизвестные злоумышленники изменили настройки DNS в маршрутизаторах, так что DNS-запросы направляются на подконтрольные им серверы 5.45.75.11 и 5.45.75.36. За счет этого осуществляется MiTM-атака с подменой IP-адресов оригинальных доменов. Вероятно, их задачей является монетизация трафика и продажа инфраструктуры ботов.
Анализ показал, что настройки изменялись в маршрутизаторах не одного конкретного производителя, а целого ряда моделей от разных фирм: D-Link, Micronet, Tenda, TP-Link и ZyXEL.