Дальше злоумышленники действовали по цепочке. Через портал Mobile Access они проникали на шлюз, использовали свежий zero-day для получения root-прав, ставили веб-шеллы и бэкдор. Затем они находили в сети серверы ESXi и запускали вайпер destroy_v6, который рекурсивно удаляет данные и умеет предварительно забивать их нулями.

На зараженных хостах лежала записка с политическими лозунгами и прямым отказом обсуждать выкуп. Исследователи осторожно связывают инструменты с китайской группировкой UNC5221, но уверенной атрибуции нет, а политические послания вполне могут оказаться ложным следом.