「Thrip」が衛星通信や防衛産業を標的に - 中国国内の端末から操作

また地理空間画像の処理と地図作成を業務とする事業者の運用システムで、GIS（地理情報システム）ソフトウェアが稼働している端末も標的としていた。

当初、同グループは独自のマルウェアを用いて攻撃を展開していたが、2017年ごろより、OSが提供する「PsExec」「PowerShell」や端末に導入されていた通信アプリ「WinSCP」「LogMeIn」などと、「Mimikatz」といったツールやカスタムマルウェアを併用しているという。

発覚をおそれてか、カスタムマルウェアを用いるのは、特定の端末に狙いを絞った際で、トロイの木馬「Rikamanu」や、同マルウェアをベースとした情報を盗み出すマルウェア「Catchamas」をはじめ、キーロガー「Mycicil」や、バックドア「Spedear」などを用いていた。