而这台文件服务器又被当作另一个C2中继站，黑客再利用渗透测试工具Impacket，针对其他老旧服务器运行WmiExec，从而感染PlugX。换言之，根据Sygnia揭露的手法，黑客使用了3种C2服务器来达成目的，也就是在外部服务器之外，还滥用了F5 BIG-IP设备，以及内部文件服务器来发送攻击命令。