SentinelOne zufolge beschränkte sich die Aktivität nicht auf eine einzelne Behörde. Das Unternehmen identifizierte kompromittierte Infrastruktur auch bei weiteren pakistanischen Strafverfolgungsorganisationen, darunter die Khyber Pakhtunkhwa Police, die Islamabad Police und die Punjab Safe Cities Authority (PSCA).
Die Forscher ordnen die Vorfälle vier verschiedenen Bedrohungsclustern zu, die jeweils eine eigene Malware-Familie einsetzten: PlugX, ShadowPad, Cobalt Strike und Remcos RAT. Der Einsatz von Remcos RAT wird laut SentinelOne einem Indien-nahen Akteur zugeschrieben. Die Cluster mit PlugX, ShadowPad und Cobalt Strike basieren demnach auf gemeinsam genutzten oder frei verfügbaren Werkzeugen und könnten jeweils von mehr als einem Operator genutzt worden sein.
Gleichzeitig verweist SentinelOne darauf, dass sowohl PlugX als auch ShadowPad traditionell mit chinesischen staatlichen Hacking-Gruppen in Verbindung gebracht werden; ShadowPad gilt dabei als Nachfolger von PlugX. Die von den Forschern beobachtete Opferauswahl stütze diese Einschätzung: Für PlugX im Zeitraum vom 27. Februar bis 28. September 2024 und für ShadowPad zwischen dem 3. August und 1. Dezember 2024 registrierte SentinelOne Ziele, die über pakistanische Polizeibehörden hinausgingen. Dazu zählten Regierungs-, Außenpolitik-, Verteidigungs-, Nichtregierungs- und Forschungseinrichtungen in Süd-, Südost-, Zentral- und Ostasien, auf der Arabischen Halbinsel und in Südosteuropa.
Auch der Remcos-bezogene Einbruchssatz weist nach Einschätzung der Forscher infrastrukturelle und taktische Überschneidungen mit der als Mysterious Elephant bekannten Gruppe auf, die auch unter den Bezeichnungen APT-C-08, APT-K-47 und TAG-179 geführt wird. Diese wiederum habe Gemeinsamkeiten mit Indien-nahen Akteuren wie SideWinder, Confucius und Bitter.
In den Angriffsketten kamen laut SentinelOne Köder mit Bezug zu pakistanischen Strafverfolgungsbehörden zum Einsatz. Angezeigt wurde ein Lockdokument, das angeblich einen Einsatzplan zur Rückführung illegaler Ausländer enthielt, einschließlich Inhabern der Afghan Citizen Card (ACC).
Die Zuordnung des Cobalt-Strike-Clusters zu China-nahen Akteuren stützt SentinelOne auf die Kommunikation mit dem von den Angreifern kontrollierten Command-and-Control-Server 142.171.183[.]8. Dessen Opferprofil reiche über pakistanische Polizeistellen hinaus und umfasse Regierungs-, Hochschul-, Telekommunikations- und Nichtregierungsorganisationen in Süd-, Ost- und Südostasien, im Nahen Osten sowie in Südamerika. Zu den ins Visier genommenen Einrichtungen gehörten auch tibetisch-buddhistische Organisationen in Taiwan, die nach Angaben des Berichts seit langem Ziel chinesischer Cyberspionage sind.
Für die Balochistan Police rekonstruierte SentinelOne Kompromittierungen zwischen dem 2. Juni 2024 und dem 9. April 2026. Zu den infizierten Anwendungen zählt das Complaint Management System unter cms.balochistanpolice.gov[.]pk, das zur Registrierung, Nachverfolgung und Bearbeitung von Bürgerbeschwerden dient. Im Zusammenhang mit der Operation wurden zwei unterschiedliche Varianten eines Implantats namens cms_plugin.exe auf die Website hochgeladen.
Milenkoski bewertet die Überschneidung mehrerer Spionageakteure bei demselben Ziel als Hinweis auf dessen besonderen nachrichtendienstlichen Wert. Wenn mehrere Cyberspionageakteure gegen Strafverfolgungsinstitutionen eines Staates vorgingen, sei bereits diese Konvergenz ein Signal für die Bedeutung des Ziels. Die Kompromittierung des Complaint Management System füge dem Vorgehen gegen die Balochistan Police eine zweite Dimension hinzu: Indem Implantate in einem Portal für Bürger und Polizeipersonal gehostet wurden, sei ein Werkzeug, das Polizeiarbeit zugänglicher und nachvollziehbarer machen sollte, in einen Mechanismus zur Malware-Verteilung verwandelt worden.