De aanvallers die eind 2009 via een onbekend lek in Internet Explorer bij Google wisten in te breken zijn nog steeds zeer actief en gebruiken op grote schaal zero-day kwetsbaarheden voor hun aanvallen. De bij Google gebruikte malware kreeg de naam Aurora of Hydraq. Volgen Symantec is de groep nog steeds actief en gebruikt het een ongekend aantal zero-day beveiligingslekken om bij andere organisaties in te breken.

Zero-days zijn beveiligingslekken waarvoor nog geen update beschikbaar is. De groep aanvallers gebruikt alleen kwetsbaarheden in Adobe Flash Player en Internet Explorer.

"Om deze lekken te ontdekken is een grote inspanning van de aanvallers vereist om alle applicaties uit elkaar te halen. De inspanning zou drastisch worden verminderd als ze toegang tot de broncode zouden hebben", aldus het anti-virusbedrijf, dat zegt geen enkele andere groep te kennen die zoveel zero-days heeft ingezet.

Elderwood
De campagne van de groep kreeg als naam 'Elderwood', vanwege een variabele in de broncode die de aanvallers gebruiken. Sinds 2010 zou de groep acht onbekende beveiligingslekken hebben misbruikt. Drie in Internet Explorer en vijf in Adobe Flash Player.

De aanvallen, die zowel per e-mail als websites worden uitgevoerd, hebben defensiebedrijven, energiebedrijven overheidsinstellingen, NGO's en mensenrechtenorganisaties als doelwit. Uit welk land de aanvallers komen wil Symantec niet zeggen, maar volgens Google was het door Chinese hackers destijds aangevallen.