De aanval wordt toegeschreven aan de schimmige hackersgroep Bronze Union. Die wordt ook wel Emissary Panda, APT 27, TG-3390, Iron Tiger of LuckyMouse genoemd. De groep wordt al langer in verband gebracht met China.

De hackers hebben ook internationale humanitaire en politieke organisaties aangevallen, zegt Secureworks. Daar waren ze op zoek naar persoonlijke informatie van betrokkenen. Mogelijk willen ze die gegevens gebruiken om de volgende stap voor te bereiden. Ook hier zegt Secureworks niet om welke organisaties het gaat. „We zien niet vaak dat hackers zo’n breed terrein hebben. Meestal hebben ze een erg nauwe focus. Het idee dat deze groep meerdere wegen bewandelt, is interessant en uniek”, aldus hoofdonderzoeker Matthew Webster van Secureworks.

De hackers vallen ook op doordat ze niet altijd vasthouden aan dezelfde manier van werken, ze zijn flexibel genoeg om af te wisselen. Ze gebruikten simpele middelen om binnen te komen, die vrij eenvoudig online te vinden zijn, zegt Webster. „Het is niet moeilijk om aan het gereedschap te komen. De truc is hoe je dat gereedschap gebruikt en inzet, daar zijn vaardigheden voor nodig.” Dat ze zulke algemene ‘wapens’ gebruikten, was volgens Webster een bewuste keuze. „Je creëert verwarring. Als het vrij verkrijgbaar is, kan iedereen het hebben gedaan. Het maakt het plaatje minder helder, je kunt het ontkennen.”

Volgens Secureworks zijn er verscheidene aanwijzingen dat de hackers uit China komen. Zo waren sommige programma’s geschreven in het Mandarijn, de belangrijkste taal van China. Bovendien hielden de hackers zich aanvankelijk aan Chinese kantoortijden. Over eventuele banden met de Chinese staat houdt Secureworks zich op de vlakte. „Maar ze hebben geen crimineel motief, het gaat ze niet om geld, het is niet naar binnen rennen en pakken wat je pakken kunt. Ze steken er flink wat tijd en moeite in om ergens binnen te komen en binnen te blijven.”