Kluczowy dowód atrybucji pochodzi z operacji holenderskiego wywiadu: latem 2014 roku służba AIVD przejęła kontrolę nad kamerami monitoringu w budynku, z którego działała grupa, co pozwoliło powiązać ją ze Służbą Wywiadu Zagranicznego Federacji Rosyjskiej, a zebrane materiały miały zostać wykorzystane w amerykańskim śledztwie w sprawie rosyjskiej ingerencji w wybory z 2016 roku. W kwietniu 2021 roku rząd Stanów Zjednoczonych oficjalnie przypisał SWR atak na SolarWinds; CrowdStrike i wywiad estoński wskazywały wcześniej także na możliwe związki grupy z FSB.
Metody działania Grupa przez lata rozwijała rodzinę złośliwego oprogramowania „Duke”. Jej najstarszy wariant, MiniDuke, wykryty przez Kaspersky Lab w 2013 roku, atakował instytucje rządowe w kilkudziesięciu krajach; kolejne odmiany (CozyDuke, CosmicDuke, SeaDuke, OnionDuke – ten ostatni ukrywający komunikację w sieci Tor) otrzymywały coraz lepsze zabezpieczenia przed analizą. Typowy schemat ataku zaczyna się od wiadomości phishingowej ze złośliwym załącznikiem, który instaluje trojana utrzymującego stały dostęp i komunikującego się z serwerem sterującym.