在今年2月， 夜神模擬器（NoxPlayer）的軟體更新機制驚傳遭到入侵 ，雖然該款Android模擬器用户號稱多達1.5億人，但攻擊者僅鎖定特定少數用户下手，對他們的電腦進行監控。當時揭露這起攻擊行動的防毒廠商ESET， 近期公開了駭客的身分與手法 ，認為該組織的作案工具，僅與已知惡意軟體存在少部分相似之處，ESET推斷，該組織很可能與過往的攻擊行動與其他駭客有所交集。

上述事故背後發動攻擊的APT駭客組織，被命名為Gelsemium。根據相關的分析結果，ESET指出，這個組織最早約於2014年開始發起攻擊行動，遭到Gelsemium攻擊的受害者，遍及東亞和中東，受害單位的類型，包含了政府機關、宗教團體、電子製造業，以及大專院校等。該組織鎖定的國家，涵蓋中國、蒙古、北韓、南韓、日本、土耳其、伊朗、伊拉克、沙烏地阿拉伯、敍利亞，以及埃及。ESET也提供入侵指標（IoC）供資安人員參考。

對於Gelsemium擅長的手法而言，ESET認為是藉由微軟Office的漏洞與釣魚郵件，來散佈用來攻擊的惡意軟體，並且利用Exchange伺服器的RCE漏洞，來進行水坑式攻擊。

該組織約於2020年9月發動NightScout行動（Operation NightScout），滲透了夜神模擬器的更新伺服器。ESET表示，在10萬名同時是ESET與夜神模擬器的用户中，僅有5名收到惡意更新，他們位於台灣、香港，以及斯里蘭卡。

但除了上述攻擊事件之外，ESET也點名可能與Gelsemium有所關連、之前被發現的惡意軟體：OwlProxy和Chrommme。為何這些惡意軟體與該組織有關？ESET指出，前者與Gelsemium惡意軟體的元件程式碼，雖然幾乎沒有直接關連，但他們在分析之後還是發現與該組織有關的證據。

後者則是ESET從Gelsemium生態圈調查所找到的後門程式，與前者相同的是，從程式碼的層面比對該駭客組織使用的元件，也幾乎沒有什麼關連，但Chrommme與該組織使用的Gelsevirine，都使用相同的2個C2伺服器。再者，另一個與該組織有關的證據，則是ESET也在遭受Gelsemium攻擊的組織電腦中，發現了Chrommme。