Специалисты изучили действия группы с июня 2025 года по август текущего года.. Ее интересовали ведомства, отвечающие за дипломатию, экономику, сельское хозяйство и природные ресурсы. В материалах расследования фигурируют девять стран, в том числе Россия, Казахстан, Беларусь и Армения.

Одна из подделок выглядела как поздравительное письмо российского дипломата в адрес МИД Армении, другая — как предложение туркменской нефтекомпании Орскому НПЗ. Для рассылки подобных файлов злоумышленники использовали и ранее взломанные государственные почтовые ящики.

В одних случаях хакеры отправляли документы Word с вредоносными макросами, в других — ссылки на программы, размещенные на GitHub. В апреле 2026 года исследователи нашли RAR-архив, использовавший уязвимость CVE-2025-8088 в WinRAR. Он помещал программу удаленного доступа в автозагрузку Windows, откуда она запускалась при следующем входе пользователя.

Часть следов злоумышленники оставили в открытом доступе: три каталога с вредоносными программами и историю изменений на GitHub. Cisco Talos предполагает связь группы с Казахстаном, но оценивает уверенность в этой версии как среднюю.

Ранее ICT-Online сообщало, что, по оценке «Кода Безопасности», около 40% целевых атак на российские предприятия, госструктуры и объекты критической инфраструктуры в первом квартале 2026 года были направлены на похищение документации и служебной переписки.