研究人员表示，GrewApacha RAT 至少从 2021 年开始就被与北京有关的黑客组织 APT31 使用，而 PlugY 与疑似中国威胁行为者 APT27 使用的工具有许多相似之处。

据卡巴斯基称，黑客发送了包含恶意档案的网络钓鱼电子邮件。在攻击的第一阶段，他们利用 Windows 计算机中常见的动态链接库 (DLL) 来收集有关受感染设备的信息并加载其他恶意工具。

虽然卡巴斯基没有明确指出最近的攻击是 APT31 还是 APT27 所为，但他们强调了所使用的工具之间的联系。

研究人员表示，尽管 PlugY 恶意软件仍在分析中，但它很可能是使用 DRBControl 后门代码开发的。该后门之前与 APT27 有关，与 PlugX 恶意软件有相似之处，后者是中国黑客经常使用的另一种工具。