"Mstream" ist vergleichbar mit den Anfang Februar gefundenen Programmen "Trinoo", "TFN2K" oder "Stacheldraht", mit denen sich Distributed-Denial-of-Service-Attacken auf bestimmte Server starten lassen. Ähnlich wie diese besteht Mstream aus einer beliebig großen Anzahl von "Zombies", die im Netz auf Rechnern verteilt sind, sowie einem "Master", der sie kontrolliert. Der Angreifer kann eine Attacke starten, indem er sich via Telnet auf den Master einwählt und dann die Zombies aufruft. Hersteller wie Computer Associates (CA) und Internet Security Systems (ISS) haben eigenen Angaben zufolge ihre Sicherheits-Tools bereits an den Schädling angepasst.