A leitura do endereço físico da placa de rede (endereço MAC), é constituída por 6 bytes, sendo que os 3 primeiros bytes fazem menção ao fabricante da placa de rede. Nas máquinas, o endereço original da placa de rede é substituído por um endereço virtual para que não haja conflito entre endereços MAC. Essa alteração pode ser facilmente detectada pelo malware, já que os bytes referenciam o fabricante do endereço MAC virtual geralmente representam algum fabricante desconhecido ou são prefixos já conhecidos por serem utilizados em máquinas virtuais

Este comportamento do malware é conhecido como: