这些黑客最终于受害电脑部署挖矿软件XMRig、木马程序XenoRAT，以及用于扫描系统弱点的脚本。但除了XenoRAT，对方也使用中国黑客常用的恶意程序，例如：Gh0stRAT、PlugX，此外研究人员也看到植入渗透测试工具Cobalt Strike、网络扫描工具Netcat的情况。

其中一种黑客使用的恶意程序「GoThief」，引起研究人员的关注。这个恶意软件使用Go语言开发而成，其特点是滥用AWS存储桶，以此存放从受害电脑偷来的信息。