وقالت "سيمانتك"، التي تراقب نشاط هذه المجموعة منذ 2015، إن الهجمات التي سعت بشكل خاص إلى "جمع معلومات أو تسهيل مراقبة" أفراد، استهدفت بشكل خاص "مزود خدمات اتصال كبيراً في المنطقة" وشركة عالمية كبيرة لحجز تذاكر السفر.
وقالت إن الشركات والمؤسسات التسع المستهدَفة مقارها في إسرائيل والأردن والإمارات والسعودية وتركيا. وأضافت أنها عثرت على أدلة على مهاجمة شركة جوية إفريقية.
وقالت إن القراصنة يحاولون في الظاهر التقدم على طول سلسلة الشركات المتعاملة من الباطن وصولاً إلى الهدف النهائي، موضحة أنه من خلال مهاجمة شركة لخدمات الاتصالات لديها عدة زبائن من مشغلي الاتصالات بالشرق الأوسط، ربما لم تكن "شافر"، في الحقيقة، تستهدف هذه الشركات، وإنما التجسس على العملاء النهائيين.
وتماشياً مع سياستها في توفير أدلة تقنية على هجمات من دون أن تنسبها إلى جهة محددة، لا تعطي "سيمانتك" أي معلومات عن هوية القراصنة أو أي صلة لهم بالحكومة الإيرانية.
ومع روسيا وكوريا الشمالية والصين، تُعدّ إيران بين الدول الأربع التي ينشط فيها القسم الأكبر من قراصنة المعلوماتية، وفق خبراء غربيين.
ويُشتبه في أن إيران كانت ضالعة في هجمات استهدفت قطاع الطاقة السعودي وشركة أرامكو في 2012.
واستخدم قراصنة "شافر" تقنية "فيشنغ محددة الهدف" التي تقوم على إرسال رسائل إلكترونية مرفقة بوثيقة "إكسل" خبيثة، وتمكنوا من السيطرة على عدد من البرمجيات المجانية مثل "أولترا في إن سي" الذي يتيح التحكم في حاسوب عن بُعد.
وتقدِّر "سيمانتك" أن مجموعة "شافر" ناشطة منذ 2014 على الأقل.