研究人员在2020年5月监测到一批似乎属于Higaisa组织的新恶意软件样本，通过分析发现这些样本与APT41组织存在部分重叠，并以高度可信称攻击活动中的一部分是用作针对俄罗斯和香港组织。研究人员对样本进行了分析，根据感染链的相似性，将其归因为Higaisa组织。但是对shellcode的详细分析表明，这些样本实际上属于Crosswalk恶意软件家族。在FireEye发布的关于APT41组织活动报告中，首次提及APT41使用了Crosswalk恶意软件。而样本的网络基础结构与以前已知的APT41基础结构存在部分重叠：在其中一台C2服务器的IP地址上，我们找到了具有SHA-1值b8cff709950cfa86665363d9553532db9922265c的SSL证书，该证书也位于IP地址67.229.97[.]229。

安恒威胁情报中心猎影实验室捕获到一个以圣诞为主题的样本，根据文档时间和释放载荷的编译时间，以及诱饵文档的内容，猜测真实攻击时间在2019年圣诞期间。根据一定关联发现该次攻击可能和黑格莎（Higaisa）组织有关。诱饵文档以圣诞为主题，内容为圣诞祝福。该样本利用CVE-2018-0798漏洞进行攻击，攻击的攻击链路如下：攻击链的前半阶段，使用CVE-2018-0798释放wll文件，这类形式在多个组织都出现过，容易造成干扰，在已披露的黑格莎的攻击样本中也比较少见，但也有案例。并且更加引起注意的是该样本和某些组织使用的有更进一步的共同点，如8.t的Encode码相同，8.t的源路径相同，释放的temp路径相同，shellcode相同，但是最终的载荷不同。

腾讯安全威胁情报中心检测到APT组织higaisa（黑格莎）在被披露后经过改头换面再次发动新一轮的攻击，在这轮攻击中，该组织舍弃了使用多年的dropper，完全重写了攻击诱饵，还引入了dll侧加载（白加黑）技术对抗安全软件的检测和查杀。与以往的攻击手段类似，higaisa（黑格莎）依然以节假日祝福为主题诱饵进行鱼叉式钓鱼攻击，欺骗用户下载并打开附件木马。该组织对dropper木马进行了重写，舍弃了原来将payload存放在资源及使用“higaisa”作为密钥进行rc4解密的方式，直接从数据段中解密（XOR 0x1A）释放恶意文件到指定目录并执行。本轮攻击dropper利用“白+黑”的方式加载Downloader模块，该组织对其Downloader也进行了改版，新一批downloader下载功能均基于老版本的curl开源代码实现，最终下载了infostealer和gh0st RAT， infostealer文件的主要行为是获取计算机信息，并发送到C2地址185.247.230.252。