В 2020–2024 годах высокопрофессиональная группировка провела серию таргетированных атак, внедрив бэкдор GoblinRAT. Сначала злоумышленники проводили детальную разведку инфраструктуры жертв, после чего вручную внедряли вредонос, маскируя его под легитимные приложения (например, утилиту Atop для мониторинга Linux). Далее GoblinRAT использовал механизм Port knocking для установки скрытого соединения в изолированных сетях и шифровал передаваемые данные через взломанные легитимные сайты. После закрепления в системе злоумышленники получали полный административный контроль, сохраняя доступ до трех лет в отдельных случаях. Для маскировки бэкдор самоуничтожался при отсутствии связи с оператором, многократно перезаписывая свои файлы случайными данными.

В результате атак группировка могла свободно красть, изменять или удалять конфиденциальную информацию, а также создавать сетевые туннели для обхода межсетевых экранов. GoblinRAT обнаружили только после ручного анализа тысяч мегабайт данных, заметив минимальные отклонения в именах процессов.