napastnicy utrzymywali dostęp do sieci ofiar średnio przez 356 dni, a w skrajnym przypadku przez 4 lata i 10 miesięcy. Zidentyfikowana infrastruktura obejmowała 849 unikatowych adresów IP serwerów sterujących w 13 krajach (większość zarejestrowana w Chinach) oraz ponad 2,5 tysiąca nazw domenowych, a branże atakowanych organizacji pokrywały się z sektorami wskazanymi jako strategiczne w chińskim planie pięcioletnim na lata 2011–2015. Przekonanie o powiązaniu APT1 z jednostką 61398, w kontekście innych, podobnych oddziałów ChALW, wyrazili w późniejszym czasie także analitycy CrowdStrike. W 2014 r. odkryto publikacje naukowe z obszaru bezpieczeństwa komputerowego, otwarcie podpisane przez pracowników jednostki 61398 wraz z naukowcami z uniwersytetu Jiaotong.

Działalność Celem działań APT1 wydaje się głównie kradzież własności intelektualnej z firm w branżach biznesowych, przemysłowych i technologicznych, m.in. inżynierii lotniczej i kosmicznej, telekomunikacji, informatyki, energetyki i opieki zdrowotnej. Wśród ofiar grupy wymieniano m.in. Lockheed Martina, RSA Security, DuPonta i operatora systemów przemysłowych Telvent, a łączną liczbę zaatakowanych organizacji firma FireEye szacowała w 2012 roku na ponad tysiąc.