Первый зафиксированный инцидент имел место 6 января 2020 года, когда APT32 отправила Министерству по управлению чрезвычайными ситуациями КНР электронное письмо со встроенной ссылкой для отслеживания. В теме письма было указано следующее: «Отчет о закупках офисной техники за первый квартал». Встроенная ссылка содержала электронный адрес жертвы и код, сообщающий атакующим, что письмо было открыто.
APT32 также атакует пользователей, говорящих на мандаринском диалекте китайского языка и интересующихся темой коронавируса. Злоумышленники отправляют жертвам фишинговые письма с вредоносным документом на тему COVID-19. Хотя исследователи пока еще не выяснили полную цепочку выполнения вредоносного ПО, они обнаружили загрузчик METALJACK, который при запуске полезной нагрузки отображает документ-ловушку на тему COVID-19 на китайском языке. Документ-ловушка представляет собой статью из The New York Times под названием «Новые сведения о коронавирусе: Китай отслеживает всех путешественников из Хубэя».