Laut den Gerichtsunterlagen nahmen Xu und seine Mitbeschuldigten zwischen Anfang 2020 und Anfang 2021 US-Universitäten sowie Immunologen und Virologen ins Visier, die zu COVID-19 forschten. Erfolgreiche Kompromittierungen sollen sie an Mitarbeiter des SSSB gemeldet haben.
Nach dem Eindringen in das Netzwerk einer Universität in Texas wurde Xu den Angaben zufolge angewiesen, auf die E-Mail-Konten von Virologen und Immunologen zuzugreifen. Später meldete er dem SSSB-Mitarbeiter, dass er Informationen aus den betroffenen Postfächern abgezogen habe.
Ab Ende 2020 sollen Xu und seine Mitbeschuldigten Zero-Day-Schwachstellen in Microsoft Exchange Server ausgenutzt haben – im Rahmen einer breit angelegten Kampagne, die weltweit Tausende Systeme traf. Betroffen waren unter anderem Computer einer weiteren texanischen Universität sowie einer Anwaltskanzlei mit Niederlassungen in mehreren Ländern.
Nach der erfolgreichen Ausnutzung der verwundbaren Exchange-Server installierten die Angreifer Web-Shells, um sich Fernzugriff zu verschaffen. Im April 2021 führte das FBI eine gerichtlich genehmigte Cyber-Operation durch, um diese Web-Shells von Hunderten Systemen in den USA zu entfernen.
Xu ist in neun Anklagepunkten beschuldigt, darunter Überweisungsbetrug, Computereinbruch, Informations- und Identitätsdiebstahl sowie die Beschädigung geschützter Computer. Ein weiterer in der Anklageschrift genannter Chinese, der 44-jährige Zhang Yu, ist weiterhin auf freiem Fuß.