「基になったMiraiは昔ながらの総当り攻撃を利用してIoTデバイスへの侵入を試みる。だが、Wickedボットは既知の脆弱性を悪用する。その多くは既にかなり古くなった脆弱性だ」

　研究者の話では、Wickedボットネットはポート8080、8443、80、81をスキャンし、接続を確立するとそのデバイスの悪用を試みるという。ボットネットが悪用する脆弱性は、侵入したデバイスの接続先ポートによって異なるとFortiGuardチームは話す。

　Wickedの標的にされたデバイスとしては、欠陥のあるNetgearルーターが挙げられる。このルーターの一部は「Reaper」ボットネットでも悪用されたことがあった。また、リモートでのコード実行に欠陥がある監視カメラも標的にされている。1回の悪用でデバイスを標的にするのではない。この悪用で既にインストールされたシェルと悪意のある呼び出しコードで、Webサーバに侵入することを目的とする。

他のMirai亜種との関係性は

　ホーベン氏とヤン氏によると、Wickedボットネットは「Owari」「Sora」「Omni」など、Miraiの前からある亜種に結び付くという。

　両氏はブログに次のように投稿している。「Wickedは悪用に成功すると、悪意のあるWebサイトからボットのペイロードをダウンロードする。このことから、WickedがOwariボットのダウンロードを狙いとしていることは明らかになった。OwariもMiraiの亜種だが、以前に兆候があったSoraボットとは異なる。ただし、分析時には、OwariボットのサンプルはWebサイトのディレクトリには存在しなくなっていた。新たな手口として、サンプルが置き換えられていることが分かり、後にそれはOmniボットであることが判明した」

　FortiGuardチームは、WickedボットネットとOwari、Sora、Omniとの結び付きをたどりながら、このボットネットを作成した人物を見つけ出した。2017年、NewSky SecurityがSora、Owari、Omniボットを作成した人物へのインタビューを公開した。この人物のハンドルネームが「Wicked」だったことから、FortiGuardはこの新しいボットネットにこの名前を付けた。

　「このインタビューを受けた人物の発言に基づくと、さまざまなボットネットが同じホスト先であることから、Wicked、Sora、Owari、Omniの各ボットネットは同一人物が作成したことが必然的に裏付けられる。このことは、その人物がSoraボットネットの配信をWickedボット本来の目的としていたが、その後の計画に役立てるために目的を変えたという結論にもつながる」（ホーベン氏とヤン氏）

　Miraiボットネットとその亜種は、2016年に最初に発覚し、続いてそのソースコードがリークされた。それ以降、数十万台のインターネット接続型デバイスに影響を及ぼしている。Miraiとその亜種は、セキュリティレベルの低い数千もの接続型デバイスにボットネットを蓄積し、それらのデバイスを悪用して企業に強力な分散型サービス拒否（DDoS）攻撃を仕掛けている。