Tox è un protocollo di messaggistica peer-to-peer cifrato progettato per la comunicazione diretta tra client senza un server centrale. Ogni partecipante può scambiare messaggi e file attraverso una rete distribuita, il che migliora resilienza e privacy. Nell'uso normale, questo rende Tox interessante per chat sicure; nei casi di abuso, la stessa progettazione può supportare il comando e controllo del malware perché non esiste un singolo dominio o server da bloccare.
Per i difensori, Tox è importante perché può indebolire la risposta basata sull'interruzione del servizio. Se un host infetto riceve istruzioni tramite peer decentralizzati, bloccare un sito web potrebbe non fermare il traffico. I team di sicurezza spesso cercano attività insolite del client Tox, connessioni peer-to-peer cifrate e comportamenti di processo che corrispondono a un loader o a un implant che si connette dopo l'esecuzione. Negli attacchi, Tox di solito non è il payload in sé, ma il livello di comunicazione che mantiene il malware sotto il controllo dell'operatore.