Az Equation csoport által használt malware alapos szakértői vizsgálata során egyre több olyan jel bukkan fel, ami arra enged következtetni, hogy az amerikai nemzetbiztonsági ügynökségnek is köze van a kártevőhöz.
Februárban a Kaspersky adott ki jelentést a csoportról, ami 2001-óta biztosan, de a feltételezések szerint már 1996-óta hajtott végre kiberkémkedési akciókat. A jelentés - melyben kitértek az alkalmazott technikákról – szerint soha még ilyen komoly támadássorozatra nem volt példa.
Akkor még nem kötötték az Equation-t az NSA-hez vagy más hírszerző ügynökséghez, pedig az eszközök sok hasonlóságot mutattak az Edward Snowden által kiszivárogtatott dokumentumokban szereplőkhöz.
Olyan kódnevekről van szó, mint SKYHOOKCHOW, DRINKPARSLEY, LUTEUSOBSTOS, STRAITACID, STRAITSHOOTER amik bár nem bizonyítják egyértelműen az NSA kapcsolatot, meglepően hasonlítanak annak kódneveihez.
A Der Spiegel magazinban megjelent NSA kódok olyan neveket viseltek, mint SKYJACKBRAD, DRINKMINT és LUTEUSASTRO. Egy másik anyagban a STRAITBIZZARE, a QUANTUM és a FOXACID nevek szerepeltek.
A szerdán kiadott újabb jelentésben azonban a malware frameworkjében használt BACKSNARF_AB25 kód is szerepel, márpedig a BACKSNARF név ott figyel a korábban említett dokumentumban, így az NSA kapcsolat egyre biztosabbnak tűnik.
A kutatók a kódok alapos elemzése után statisztikailag megállapították, hogy a készítők szinte biztosan hétfőtől péntekig tartó munkarendben dolgoztak, valahol a GMT -3 vagy -4 időzónában, feltételezve, hogy 8 vagy 9 órákkor kezdték a műszakot.
