23 января Microsoft подала в один из судов штата Вирджиния иск против Сабельникова. Среди прочего в документе упоминается и некий господин Доминик Александр Пьятти. В октябре этот житель Чехии стал первым обвиняемым по делу Kelihos. Принадлежащая Пьятти хостинговая компания dotFREE Group оказалась причастна к регистрации 3 723 доменов в зоне cz.cc, использовавшихся для управления ботнетом. Пьятти согласился сотрудничать со следствием и таким образом избежал судебного преследования.
Уничтоженная в сентябре 2011 года объединенными усилиями Microsoft, Kyrus Inc. и «Лаборатории Касперского» сеть объединяла более 40 тысяч компьютеров. Специализация Kelihos — спам, детское порно и вирусы.
Питерский фотограф-любитель Андрей Сабельников попал в поле зрения специалистов по безопасности после того, как выяснилось, что Kelihos подгружает необходимые данные с зарегистрированного на Сабельникова сайта sabelnikov.net (в настоящее время сайт не работает, но на нём есть ссылка на страницу владельца Vkontakte). Что конечно странно - подгружать данные для бота с сайта, зарегистрированного на себя? И с такого-то домена? Как-то не стыкуется.
Дальнейшее расследование компани показало, что 31-летний фотограф хорошо разбирается и в компьютерной безопасности. На его персональной страничке в сети в профессиональной соцсети LinkedIn (сейчас удалена) было указано, что выпускник Санкт-Петербургского университета аэрокосмического приборостроения Андрей Сабельников три года работал в компании Agnitum, кроме всего прочего выпускающей и известный файрвол Outpost Firewall Pro.
