Ce driver avait été validé par Microsoft et semblait être un faux positif avant que des recherches concluent qu’il s’agissait d’un malware .
Depuis Windows Vista, chaque driver doit passer par un processus de vérification de la part de Microsoft pour pouvoir être installé sur un PC. À la suite de celui-ci, l’entreprise le « signe », pour valider sa conformité. Cependant, il semblerait que dans le cas de Netfilter, tout ne se soit pas passé comme prévu.
Le driver semblait légitime à première vue, d’autant plus qu’il avait été signé par Microsoft, mais son comportement a fini par attirer l’attention de Karsten Hahn qui a été rejoint par d’autres spécialistes. Ils ont conclu q’il s’agissait d’un malware en le voyant communiquer avec des serveurs de commande et contrôle en Chine, sans pour autant fournir aucune fonctionnalité légitime.