Takový závěr alespoň vyplývá z průběžné analýzy Kaspersky Lab. Výrobce antiviru se domnív, že většina z nich patří tvůrcům botnetů.
TOR je primárně neomezený a volný systém fungující pomocí internetu, jehož uživatelé si vyměňují zprávy ve fórech, komunikují skrze textové služby a provádějí další, zdánlivě běžné, operace.
Podstatným rozdílem je ale to, že jim TOR umožňuje zůstat během všech aktivit zcela anonymními, nelze identifikovat jejich IP adresu a tím pádem určit, kdo reálně za činností stojí. Navíc tato darknetová služba poskytuje takzvané pseudodomény, které zabraňují jakémukoli zjištění osobních informací o uživateli.
V poslední době kybernetičtí zločinci začali TOR aktivně využívat k provozování malwarové infrastruktury. Analytici Kaspersky Zběžný pohled na síť TOR napoví, že má řadu zdrojů věnovaných právě malwaru – C&C servery, správcovské panely apod. Tím je značně ztížena možnost jejich identifikace, blacklistingu nebo eliminace.