Odcizená data pak virus Flame odesílal jednomu ze svých řídících serverů (C&C). Vyplývá to z výsledků podrobné výzkumné zprávy společnosti Kaspersky Lab, která C&C infrastrukturu viru Flame monitoruje. Virus byl údajně aktivně využíván jako kybernetická zbraň zacílená na instituce, a to hned v několika zemích. Flame byl odhalen během vyšetřování provedeného na popud Mezinárodní komunikační unie (ITU), jejímž zřizovatelem je Organizace spojených národů. Analýza zákeřného programu potvrdila, že se jedná o dosud nejrozsáhlejší a nejkomplexnější kybernetickou sadu nástrojů.
Výsledky analýzy jsou následující:
• Několik let aktivní infrastruktura řídících serverů viru Flame se odpojila ihned poté, co minulý týden Kaspersky Lab zveřejnila odhalení malwaru Flame.
• V současné době je více než 80 známých domén využíváno virem Flame a jeho řídícími servery a souvisejícími doménami, které byly registrovány v letech 2008 – 2012.
• Během uplynulých čtyř let se servery hostící řídící infrastrukturu viru Flame přesunovaly mezi různými lokalitami, včetně Hongkongu, Turecka, Německa, Polska, Malajsie, Lotyšska, Spojeného království a Švýcarska.
• Domény řízené virem Flame byly registrovány od roku 2008 pomocí úctyhodného seznamu falešných identit a s různými správci.
• Podle společnosti Kaspersky Lab byli infikováni uživatelé registrováni v několika různých regionech včetně Blízkého východu, Evropy, Severní Ameriky, Asie a Tichomoří.
• Útočníci stojící za virem Flame se zaměřovali na odcizení zejména elektronických nákresů v PDF a textových formátech a výkresech vytvořených v programu AutoCad.
• Údaje, které byly virem Flame odeslané na jeho řídící servery, jsou zakódované za použití relativně jednoduchých algoritmů. Odcizené dokumenty jsou komprimované využitím otevřeného zdroje Zlib a modifikované komprese PPDM.