Nach Darstellung des DOJ war Xu unter anderem an Angriffen auf Organisationen beteiligt, die zu COVID-19 forschten. Dort hätten die Angreifer versucht, an Daten zu Impfstoffen, Behandlungsmethoden und Tests zu gelangen.
Die US-Behörden werfen Xu und seinen Mitbeschuldigten zudem vor, ab Ende 2020 Zero-Day-Schwachstellen in Microsoft Exchange Server ausgenutzt zu haben. Diese breit angelegte Kampagne zielte darauf ab, E-Mail-Server zu kompromittieren und sich Zugang zu den dahinterliegenden Netzwerken zu verschaffen.
Nach dem Einbruch in verwundbare Exchange-Server installierten die Angreifer den Angaben zufolge sogenannte Web-Shells. Über diese konnten sie auf Postfächer zugreifen, sich seitlich im Netzwerk weiterbewegen und Daten abziehen. Die massenhafte Ausnutzung führte weltweit zu Vorfällen, von denen Tausende Organisationen betroffen waren, bevor die Patches vollständig verfügbar waren.
Die Staatsanwaltschaft geht davon aus, dass Xu und sein Mitangeklagter als vertraglich gebundene Hacker unter der Leitung von MSS-Verantwortlichen agierten. Laut den Gerichtsdokumenten hätten Beamte des Shanghaier Büros für Staatssicherheit (SSSB), das dem Ministerium für Staatssicherheit untersteht, Xu zu diesen Angriffen angewiesen.
Während der Computereinbrüche soll Xu für ein Unternehmen namens Shanghai Powerock Network Co., Ltd. gearbeitet haben. Das DOJ beschreibt die Firma als eine von vielen, die im Auftrag der chinesischen Regierung Hacking-Operationen durchführen.
Xu soll vor einem US-Bundesgericht erscheinen, wo ihm mehrere Anklagepunkte im Zusammenhang mit Computereinbrüchen und Verschwörung zur Last gelegt werden.