Het Computer Emergency Response Team van de Zwitserse overheid (GovCERT) is erin geslaagd om het algoritme te kraken dat het Tofsee-spambotnet gebruikt voor het registreren van domeinen en heeft vervolgens de helft van alle domeinen die het botnet zou gaan registreren zelf geregistreerd.

Een actie die de werking van het botnet kan ondermijnen. Net als veel andere malware en botnets maakt het Tofsee-botnet gebruik van een 'domain generation algorithm' (dga). Een dga genereert domeinen waar besmette computers in de toekomst verbinding mee zullen maken om verdere instructies en updates te ontvangen. In het geval van het Tofsee-botnet werden er domeinen met een Zwitsers topleveldomein gegenereerd, eindigend op de extensie .ch. Iets wat zeer bijzonder is, aangezien er maar één ander malware-exemplaar bekend is dat dit doet.

Het Zwitserse GovCERT besloot daarom naar het dga te kijken dat het Tofsee-botnet gebruikt. Uiteindelijk slaagden onderzoekers erin het dga te kraken en konden zo zien welke domeinen het botnet voor het komende jaar zou gaan registreren. Het bleek om 520 domeinen eindigend op .ch en 520 domeinen eindigend op .biz te gaan. In samenwerking met SWITCH, verantwoordelijk voor de uitgifte van .ch-domeinen, werden vervolgens alle Zwitserse domeinen geregistreerd. Wat er met de .biz-domeinen zal gebeuren laat het Zwitserse GovCERT niet weten. In 2014 werd nog een valse e-mail van transportbedrijf TNT Express gebruikt om Nederlandse computers onderdeel van het Tofsee-botnet te maken.