Technische Spuren deuten darauf hin, dass die Operation über Monate vorbereitet wurde. Laut Kaspersky wurde die Lotus-Wiper-Malware Ende September 2025 kompiliert. Eine mit der Kampagne in Verbindung stehende Probe wurde Mitte Dezember von einem Computer in Venezuela in ein öffentliches Malware-Verzeichnis hochgeladen.
Die Forscher ordnen die Aktivität einer Phase erhöhter geopolitischer Spannungen in der Karibikregion Ende 2025 und zu Beginn dieses Jahres zu. Welche Einrichtungen konkret angegriffen wurden, gaben sie nicht bekannt.
Im Dezember meldete der staatliche venezolanische Ölkonzern Petróleos de Venezuela (PDVSA), dass ein Cyberangriff seine Verwaltungssysteme gestört habe. Lokalen Medien zufolge legte der Vorfall vorübergehend die Auslieferung von Öllieferungen lahm.
PDVSA machte öffentlich die Vereinigten Staaten für den Eingriff verantwortlich und verwies auf die verstärkte militärische Präsenz Washingtons rund um Venezuela sowie auf dessen langjährige Bemühungen, Präsident Nicolás Maduro aus dem Amt zu drängen. US-Streitkräfte brachten Maduro im Januar außer Landes. Sicherheitsexperten fanden keine Belege, die den Angriff mit der US-Regierung in Verbindung bringen.
Bislang gibt es keinen Nachweis, dass Lotus Wiper bei dem PDVSA-Vorfall zum Einsatz kam. Die Identität des Akteurs hinter der Kampagne bleibt unbekannt.