Grupa APT28 zdradza dysponowanie dużymi zasobami i możliwościami, przykładowo, w ciągu zaledwie czterech miesięcy w 2016 r. wykorzystała sześć nowych, nieznanych z innych źródeł exploitów typu zero-day na zamknięte oprogramowanie. Narzędzia jakimi posługuje się organizacja są złożone i programowane w metodycznym i profesjonalnym środowisku, w godzinach roboczych odpowiadających moskiewskiej strefie czasowej. Grupa korzysta też z VPN, płatności przy pomocy bitcoinów, oraz fałszywych tożsamości, takich jak Guccifer 2.0 lub Anonymous Poland w celu ukrycia swojego prawdziwego pochodzenia. Wykryto jednak przesłanki wiążące te tożsamości z resztą działalności APT28.
Działalność grupy Działalność APT28 sięga co najmniej 2004 r., jednak grupa została zidentyfikowana publicznie po raz pierwszy w 2014 r. przez analityków firmy FireEye. Powiązali oni zbiór charakterystycznych i spójnych narzędzi i technik z ataków na cele publiczne w państwach Kaukazu, Europy Środkowej i Wschodniej (m.in.