Если они знают доменные имена сервера, неужели сложно построить цепочку.

Ведь соединение происходит так:

автор вируса -> носки -> носки -> возможно vpn -> путь до сервера -> сервер

Если известен сервер. То и известен vpn сервис. Который в свою очередь нужно и штурмовать, искать логи.