Unit42, de onderzoekstak van beveiliger Palo Alto Networks, ontdekte de aanval. De mails hadden als bijlage een besmet Word-document, waarin de agenda van een defensiecongres stond. Op de derde pagina stond een object dat ervoor zorgde dat de computer schadelijke software van de hackers probeerde te laden. Wie alleen de eerste pagina las, was veilig. Volgens Unit42 was dat nieuw en „bijzonder slim”; alleen mensen, dus de beoogde slachtoffers, lezen door tot pagina 3. De geautomatiseerde systemen van cyberbeveiligers worden zo voor de gek gehouden en slaan geen alarm.

Het is niet bekend hoeveel mensen de bijlage hebben geopend en wat de hackers hebben buitgemaakt.

Unit42 schrijft de aanval toe aan Fancy Bear, een groep die ook wel Pawn Storm, Sofacy en APT28 wordt genoemd. Die hackers worden verantwoordelijk gehouden voor cyberaanvallen op westerse doelen als de Amerikaanse Democratische partij, de NAVO, het Witte Huis, het wereldantidopingagentschap en de Onderzoeksraad voor Veiligheid, die de ramp met vlucht MH17 onderzoekt. Dat zijn allemaal organisaties waar Rusland grote moeite mee heeft. Mede daarom wordt de hackersgroep in verband gebracht met het Kremlin.