وعملت "فاير آي" عن كثب مع الضحايا ومنظمات الأمن ووكالات تطبيق القانون، حيث تشمل المنظمات المتأثرة بهذه الحملة شركات الاتصالات ومزودي خدمات الإنترنت ومقدمي البنية التحتية للإنترنت والحكومات والكيانات التجارية الحساسة في جميع أنحاء الشرق الأوسط وشمال أفريقيا وأوروبا وأمريكا الشمالية، والتي قد تكون معلوماتها السرية ذات أهمية للحكومة الإيرانية.
وتستخدم هذه الحملة بعض التكتيكات التقليدية، إلا أنها تختلف عن غيرها من النشاط الإيراني الذي تابعته الشركة، إذ إنها تستغل تقنية اختطاف نظام أسماء النطاقات بشكل كبير، ويعتقد محللو "فاير آي" FireEye أن المجموعة الواقع مقرها في إيران هي المسؤولة عن الهجمات، بالرغم من عدم وجود دليل قاطع يمكن الاستناد عليه حتى الآن.
وقال باحثون إن القيمة المادية للكيانات المستهدفة من قبل المجموعة ضئيلة نسبيًا، كما قالوا إنهم وجدوا أن بعض البنى التحتية للضحايا تم الوصول إليها خلال هذه الهجمات عبر عناوين IP إيرانية تمت مراقبتها سابقاً أثناء قيام "فاير آي" بالتصدي لهجمات أخرى، والتي نسبت إلى التجسس الإيراني.
وأصدرت شركة "فاير آي" تقرير يعطي فكرة عن هذه الهجمات، والتي كانت تحدث على الأقل منذ شهر يناير/كانون الثاني 2017، ووصفت نطاق وتأثير هذه الحملة بأنه غير مسبوق، حيث لم يهاجم القراصنة الضحايا لجمع بيانات اعتماد البريد الإلكتروني، مثل معظم مجموعات التجسس الإلكتروني، بل قاموا بدلًا من ذلك بتعديل سجلات DNS لإعادة تشكيل حركة مرور الإنترنت داخل المؤسسات واختطاف الأجزاء التي يريدونها.
وقالت "فاير آي":
"بالرغم من أن الآلية الدقيقة التي تم من خلالها تغيير سجلات DNS ما تزال غير معروفة، إلا أننا نعتقد أن بعض السجلات، على الأقل، قد تم تغييرها من خلال اختراق حساب مسجل النطاق الخاص بالضحية".
وأوضحت أن تحقيقاتها في حملة الاختراق العالمية هذه لا تزال مستمرة إلى حد كبير، كما أشارت شركة الأمن الإلكتروني الأمريكية إلى أن هذا النوع من الهجمات يصعب صدها لأن المهاجمين لا يدخلون إلى الشبكة الداخلية للشركة في معظم الحالات، ومن غير المرجح أن تطلق برامج الأمن المحلية تنبيهات حولها، وتتمثل الخطوات الأولى لمكافحة هذه الهجمات، كما توصي "فاير آي"، في تمكين المصادقة الثنائية لحسابات إدارة DNS و TLD، وإعداد التنبيهات لأي تغييرات في سجلات DNS A أو NS.