Theo hãng phần mềm an ninh F-Secure (Phần Lan), Korgo - còn được gọi là Padobot - lựa chọn những địa chỉ IP của máy bất kỳ để lây lan và tấn công, tương tự như cách thức mà loại sâu đầu tiên khai thác LSASS đã làm. Korgo mở một loạt cổng TCP, trong đó có 113, 445, 2041, 3067 và 6667, sau đó liên lạc với nhiều máy chủ IRC để nhận lệnh và dữ liệu.