Агресори можуть здійснювати багатоетапні атаки в цифровому середовищі для шпигунства, викрадення даних, руйнування критичної інфраструктури та паралічу державних інституцій. Ці операції охоплюють широкий спектр тактик: від розвідки, отримання первинного доступу (наприклад, через фішинг, компрометацію облікових записів чи атаки на ланцюги постачання) та закріплення в системі до обходу захисту, викрадення облікових даних та ексфільтрації інформації. Фінальним етапом часто стає деструктивний вплив (Impact), як-от знищення даних, стирання дисків або атаки типу «відмова в обслуговуванні» (Denial of Service). Докладніше ці техніки розкриваються у спеціалізованому фреймворку MITRE ATT&CK.
Використання пов'язаного зі спецслужбами хакерського угруповання для зламу програмного забезпечення українських артилеристів: «файл 'Попр-Д30.apk' був пов'язаний з легітимним застосунком, який спочатку був розроблений усередині України офіцером 55-ї артилерійської бригади Ярославом Шерстюком», а «поглиблений реверс-інжиніринг показав, що APK містив Android-варіант X-Agent» - імпланта, ексклюзивним оператором якого є FANCY BEAR[1]. Тим самим інструментарієм велися кібератаки на українську енергомережу взимку 2015 і 2016 років[2][3].