Агрессоры могут осуществлять многоэтапные атаки в цифровой среде для шпионажа, кражи данных, разрушения критической инфраструктуры и паралича государственных институтов. Эти операции охватывают широкий спектр тактик: от разведки, получения первоначального доступа (например, через фишинг, компрометацию учетных записей или атаки на цепочки поставок) и закрепления в системе, до обхода защиты, кражи учетных данных и эксфильтрации информации. Финальным этапом часто становится деструктивное воздействие (Impact), такое как уничтожение данных, стирание дисков или атаки типа «отказ в обслуживании» (Denial of Service). Более подробно эти техники раскрываются в специализированном фреймворке MITRE ATT&CK.
Использование связанной со спецслужбами хакерской группировки для взлома программного обеспечения украинских артиллеристов: «файл 'Попр-Д30.apk' был связан с легитимным приложением, изначально разработанным внутри Украины офицером 55-й артиллерийской бригады Ярославом Шерстюком», а «углублённый реверс-инжиниринг показал, что APK содержал Android-вариант X-Agent» - импланта, эксклюзивным оператором которого является FANCY BEAR[1]. Тем же инструментарием велись кибератаки на украинскую энергосеть зимой 2015 и 2016 годов[2][3].