a partir do prompt de comando desse Windows 2000, pode-se utilizar o comando netstat para detectar as portas TCP abertas e assim garantir que não há nenhum backdoor, desde que este utilize o TCP como protocolo de transporte.

a detecção desse rootkit deve ser feita gerando-se hashes SHA-1 ou SHA-256 dos arquivos do Kernel do Windows 2000, a partir do prompt de comando, os quais devem ser comparados com hashes de um backup anterior à invasão.

os logs de segurança desse sistema operacional contêm informações confiáveis sobre a origem do ataque e devem ser usados para rastrear M, a não ser que o endereço IP de origem tenha sido forjado.

nenhum rootkit poderia ser instalado, caso o firewall nativo do Windows 2000 estivesse habilitado e com a proteção para Buffer Overflow ativada.

M pode controlar S por meio de comandos encapsulados via ICMP para disparar ataques de Denial of Service contra outros servidores, mesmo que o tráfego TCP e UDP seja bloqueado no roteador de borda.