tişim kurmak, özel verileri çalmak, daha sonra CIA sunucularına göndermek veya hedef bilgisayardaki özel verileri silmek için bir arka kapı oluşturmak için kullanılmakta olunduğudur. CIA yetkilileri, saldırıya uğrayan bilgisayarda belirli görevleri daha da ileriye taşımak için ek zararlı yazılımlar göndermede Komuta ve Kontrol (C2) yapısını kullanmıştır. Yukarıdakilerin hepsi bilgisayar güvenlik yazılımını aldatmak için tasarlanmıştır.

Yayınlanan ayrıntılı belgelere rağmen, WikiLeaks, CIA'nin Athena'yı kullanıp kullanmadığını gösteren herhangi bir kanıt sunmamıştır.

1 Haziran 2017'de WikiLeaks Vault 7 bölüm 11 "Pandemic"i (Anlamı: Salgın) yayınladı. Bahsi geçen araç, paylaşılan klasörlerle ilgili olarak Windows makinelerini etkileyen kalıcı bir implant (nakil) görevi görmektedir. Etkilenen bir bilgisayarda bir dosya sistemi filtre sürücüsü olarak işlev görmekte ve yerel ağdaki diğer bilgisayarlardan indirme denemelerini algılarken Sunucu İleti Bloğu (SMB - "Server Message Block") trafiğini dinlemektedir. "Pandemic", virüslü bilgisayar adına bir indirme isteğine cevap verecek yapıdadır. Ancak, geçerli dosyanın yerine kötü niyetli yazılımlar konabilir. Etkinliklerini karmakarışık hale getirmek için "Pandemic", asıl dosyayı değiştirmeden aktarmada yalnızca meşru dosyayı değiştirmekte veya vekil tayin etmektedir. Implant, bir seferde 20 dosyanın değiştirilmesini ve en çok 800 MB'lik bir dosya boyutuna sahip olmasını sağlar. "Pandemic" dosya sunucuları, aktarılan implant'ın yerel bir ağ üzerinde yeni hedeflere ulaşmasına izin verir.

15 Haziran 2017'de WikiLeaks Vault 7 bölüm 12 "Cherry Blossom"ı (Anlamı: Kiraz çiçeği) yayınladı.

22 Haziran 2017'de WikiLeaks Vault 7 bölüm 13 "Brutal Kangaroo"yu (Anlamı: Vahşi Kanguru) yayınladı.

28 Haziran 2017'de WikiLeaks Vault 7 bölüm 14 "Elsa"yı yayınladı.

29 Haziran 2017'de WikiLeaks Vault 7 bölüm 15 "OutlawCountry"yi (Anlamı: Yasadışı Ülke) yayınladı.

6 Temmuz 2017'de WikiLeaks Vault 7 bölüm 16 "BothanSpy"ı yayınladı.

13 Temmuz 2017'de WikiLeaks Vault 7 bölüm 17 "Highrise"ı (Anlamı: Çok katlı) yayınladı.

UCL / Raytheon - 19 Temmuz 2017

Imperial - 27 Temmuz 2017

Dumbo - 3 Ağustos 2017

CouchPotato - 10 Ağustos 2017

ExpressLane - 24 Ağustos 2017

Angelfire - 31 Ağustos 2017

Protego - 7 Eylül 2017

Eski CIA Direktörü Michael Hayden özgünlükleri sorulduğunda, örgütün "söz konusu istihbarat belgelerinin esaslılığı veya içeriği hakkında yorum yapmayın" dedi. Bununla birlikte, anonimliği koşuluyla konuşan şu anki ve eski istihbarat yetkilileri, belgelerin aslî olduğu görüşündeydi. Belgelerin yayınlanmasından kısa süre sonra Edward Snowden, otantik görünüyor diye tweet attı. Texas Üniversitesi'nden hukuk profesörü ve Stratejik ve Uluslararası Çalışmalar Merkezi (CSIS - "Center for Strategic and International Studies") Teknoloji ve Kamu Politikaları Programı Direktörü olan Robert M. Chesney, Vault 7'de bildirilen araçları NSA'in hack araçlarına benzetti ve kendisine Gölge Komisyoncuları olarak adlandıran bir grup tarafından 2016'da açıklandığını söyledi.

15 Mart 2017'de Başkan Donald Trump bir röportaj sırasında "CIA saldırıya uğradı ve çok şey alındı" dedi. İddianamede ertesi gün, Meclis İstihbarat Komitesi'nin Sıralama Üyesi olan Adam Schiff, "Obama'yı bir kez daha suçlamak için yaptığı çaba gösterildiğinde, Başkan, doğru ve kesin olursa, aksi takdirde gizlilik derecesinde sınıflandırılmış bilgiler olarak düşünülmesi gereken bir şey yapmasını istedi" dedi.

WikiLeaks, belgelerin "Langley, Virginia'da CIA'nın Siber İstihbarat Merkezi (CCI - "Center for Cyber Intelligence") içinde yer alan, çevresinden yalıtılmış, yüksek güvenlikli bir ağdan geldiğini" belirtti. Belgeler, WikiLeaks'in Siber İstihbarat Merkezi'nin yapısını ve örgütlenmesini kısmen belirlemesine izin verdi. Bildirildiğine göre CCI'nin Apple ürünlerini tehlikeye atmaya adanmış bir birimi var.

Siber güvenlik şirketi Symantec, Vault 7 belgelerini çözümledi ve açıklanan yazılımlardan bazılarının 2014 yılından beri izlediği "Longhorn" adlı grup tarafından yakınlarda bulunan siber saldırılara eşdeğer olduğunu tespit etti. Symantec, daha önce "Longhorn"'un hükümet sponsorluğunda olduğunu ve 16 ülkedeki 40 hedefe karşı kullanımını izlediğinden şüpheleniyordu.

Vault 7 belgelerinin ilk kısmı 7 Mart 2017'de "Year Zero" kod adıyla kamuoyuna açıklandı ve Avrupa, Çin ve Orta Doğu saldırılarına başlangıç noktası olarak çok gizli bir CIA biriminin Alman kenti Frankfurt'u kullandığını açıkladı. Belgelere göre, ABD hükümeti, Frankfurt'taki Başkonsolosluk Bürosu'nu siber operasyonlar için bir bilgisayar korsanlığı üssü olarak kullanıyor. WikiLeaks belgeleri, Avrupa Siber İstihbarat Merkezi'nin (CCIE - "Center for Cyber Intelligence Europe") bir parçası olan Frankfurt bilgisayar korsanlarına, Almanya'ya giriş yapabilmeleri için gümrük memurlarına karmakarışık kimlik belgeleri ve diplomatik pasaportlar verildiğini ortaya koydu.

Karlsruhe'daki Federal Adalet Divanı Savcısı Peter Frank, 8 Mart 2017'de, hükümetin bir soruşturma başlattığını açıkladı ve konsolosluğun yürüttüğü etkinlikler ve ayrıca Almanya'daki kişilerin CIA tarafından saldırıya uğramış olup olmadığı konusunda kapsamlı soruşturma başlattı. Almanya Sosyal Demokrat Partisi'nden Almanya Dışişleri Bakanı olan Sigmar Gabriel, Vault 7 "Year Zero" belgelerine göre CIA'nın dijital casusluk operasyonları için bir üs olarak Frankfurt'u kullandığını ve Almanya'nın siber saldırılarla ilgili herhangi bir bilgiye sahip olmadığını söylediğini bildirdi.

Bildirilen bu belgeler, teşkilatın diğer bilgisayar korsanları tarafından üretilen geniş bir siber saldırı teknikleri ve kötü amaçlı yazılım koleksiyonu bulunduğunu ortaya koydu. Bu kütüphanenin CIA'nın Uzak Aygıtlar Şubesi'nin UMBRAGE grubu tarafından "Umbrage Bileşen Kütüphanesi" git deposunda yer alan bu tekniklerin ve kaynak kodun kullanıldığı örneklerle sağlandığı bildirildi. WikiLeaks'e göre, UMBRAGE yoluyla üçüncü tarafların tekniklerini geri dönüştürerek, CIA, sadece toplam saldırı sayısını arttırmakla kalmaz, aynı zamanda bu saldırıları diğer grupların ve ulusların çalışması gibi gizleyerek adli araştırmacıları yanıltabilir. UMBRAGE tarafından ödünç alınan teknikler arasında Shamoon uygulamasını silme dosyası da vardı. PC World'e göre, bazı teknikler ve kod parçacıkları CIA tarafından dahili projelerde kullanıldı ve sonuçta sızıntılardan ayrıştırılamadı. PC World, atıfları engellemek için "sahte bayrak"ları dikme uygulamasının siyaha karşı yeni bir gelişme olmadığını kaydetti: sahte bayraklar kullandığından şüphelenilenlerin arasında Rus, Kuzey Koreli ve İsrailli hacker grupları vardı.

The Intercept'de Kim Zetter tarafından yapılan bir araştırmaya göre, UMBRAGE, muhtemelen 'sahte bayrak'lar dikmekten ziyade mevcut araçları yeniden geliştirmeyi amaçlayan hızlandırmaya odaklanmıştı. Errata Security CEO'su Robert Graham, Intercept'i ("Önleme") anlattı ve "UMBRAGE" belgelerinde atıfta bulunulan kaynak kodun "son derece açık" olduğunu ve büyük olasılıkla çok sayıda grup ve devlet aktörü tarafından kullanıldığını söyledi. Graham ekledi: "Belgelerdeki kanıtlardan kesin olarak bahsedebileceğimiz şey, diğer projelerde kullanılmak üzere kod parçacıkları hazırladıklarını ve internette buldukları kodda yöntemleri tekrar kullandıklarının farkındalar. [...] Başka yerlerde saldırıları gizlemekten bahsediyorlar Nereden geldiğini göremiyorum, ancak sahte bayrak işlemi yapmak için somut bir plan yok. 'Bunu Rusya gibi yapacağız' demeye çalışıyorlar."

Vault 7 belgelerinin ilk yayınlandığı gün, WikiLeaks, UMBRAGE'i "Rusya Federasyonu dahil olmak üzere diğer devletlerde üretilen malware'den "'çalıntı' önemli bir saldırı teknikleri kütüphanesi" olarak nitelendirdi ve "CIA, diğer gruplar için virüs ve sahte bayrak saldırılarını kolaylaştıran kötü amaçlı yazılımları çaldı" şeklinde tweetledi. CIA'nın Rus hükümetinin 2016 ABD seçimlerine müdahale ettiği konusunda itiraf ettiği iddia edilen bir komplo teorisi ortaya çıktı. Sean Hannity ve Ann Coulter gibi muhafazakar yorumcular bu olasılık hakkında Twitter'da spekülasyon yapmış ve Rush Limbaugh'un radyo programında tartışmışlardır. Rusya dışişleri bakanı Sergey Lavrov, Vault 7'nin "CIA'nin bu tür parmak izlerine erişebileceğini ve bunları kullanabileceğini gösterdiğini" söyledi.

Ben Buchanan ve Kevin Poulsen gibi siber güvenlik yazarları bu teorilere kuşkuluydu. Poulsen, "Sızdırılan katalog, menşe ülke tarafından düzenlenmedi ve Rus DNC adlı bilgisayar korsanlarının kullandığı belirli zararlı yazılımlar listede yer almadı" dedi.

Belgeler, marble framework'ü, kötü amaçlı yazılımlardaki metin parçalarını görsel denetimden gizlemek için kullanılan bir dize obfuscator'u olarak tarif eder. Programın bir parçası olarak CIA saldırılarının kaynağını örtbas etmek için yabancı diller kullanıldı. WikiLeaks'e göre, 2015 yılında Marble Framework 1.0'a ulaştı ve 2016 boyunca CIA tarafından kullanıldı.

WikiLeaks yayımladığında, "Marble"'ın birincil amacının, virüsleri, truva atlarını ve hack saldırılarını maskelemek için kötücül yazılıma yabancı dil metni eklemek olduğunu; CIA tarafından izlenmelerinin zorlaşmasına ve adli araştırmacıların yanlış bir şekilde ulusları yanlış koda sahip kılmasına neden oluyordu. Kaynak kodu, Marble'ın Çince, Rusça, Korece, Arapça ve Farsça örnekleri olduğunu ortaya koydu. Bunlar ABD'nin ana siber düşmanlarının - Çin, Rusya, Kuzey Kore ve tarihsel olarak en azından İran'ın dilleriydi. Çözümlemeciler, WikiLeaks'in "Marble'ın ana amacını açıklamasıyla" "The Hill"'in ana amacının antivirüs programlarının algılanmasını önlemek olduğunu söyledi. Marble ayrıca, CIA'nın metin şaşırtma/gizleme işini tersine çevirebileceği bir deobfuscator aracı içeriyordu.

Berkeley Uluslararası Bilgisayar Bilimleri Enstitüsü'ndeki güvenlik araştırmacısı Nicholas Weaver, Washington Post'a şunları söyledi: ""Bu, devam eden CIA operasyonlarını doğrudan bozmak üzere tasarlandığından, WikiLeaks tarafından yapılan en teknik olarak yapılmış zararlı sızıntılardan biri gibi görünüyor."”

HammerDrill, CD/DV