Nach Angaben des US-Justizministeriums vom 29. Oktober wurde die Verschwörung von Mitgliedern des engsten Umfelds des früheren syrischen Präsidenten Baschar al-Assad organisiert und geleitet, darunter dem Kommandeur des syrischen Allgemeinen Geheimdienstdirektorats. Die Gruppe habe zudem Erkenntnisse für die Regierung Assads gesammelt, die im Dezember 2024 stürzte. „Agha setzte seine Hacking-Fähigkeiten in den Dienst des Assad-Regimes, um die Berichterstattung über die Gräueltaten des Regimes zum Schweigen zu bringen, Gegner einzuschüchtern und US-Soldaten dazu anzustiften, Befehle zu verweigern", sagte John A. Eisenberg, Assistant Attorney General für nationale Sicherheit.
Die Assad-treue Syrian Electronic Army begann ihre Angriffe 2011. Laut einer eidesstattlichen Erklärung des FBI aus dem Jahr 2014 verschickten ihre Mitglieder Phishing-Mails, um Passwörter von Beschäftigten zu stehlen, und nutzten diese anschließend, um Webseiten zu verunstalten, Datenverkehr umzuleiten und Social-Media-Konten zu übernehmen.
Am 23. April 2013 kaperte die Gruppe den Twitter-Account von Associated Press und verbreitete die falsche Meldung, Präsident Barack Obama sei bei zwei Explosionen im Weißen Haus verletzt worden. Die Bestätigung von Twitter über das Zurücksetzen des Passworts für dieses Konto ging laut der eidesstattlichen Erklärung an ein Gmail-Konto, das überwiegend von Agha genutzt wurde. Das Justizministerium schreibt diesen Angriff Agha zu. Agha erklärte später gegenüber Business Insider, ein starker Einbruch des Dow sei „unser Ziel bei diesem Hackerangriff" gewesen und „ein großer Sieg für uns".
Insgesamt hackte Agha nach Darstellung des Ministeriums rund 47 westliche Medienhäuser, Unternehmen, gemeinnützige Organisationen sowie Behörden der USA und verbündeter Staaten. Er drang in das Unternehmen ein, das die Rekrutierungswebseite des US Marine Corps hostete, und leitete deren Besucher auf ein Bild um, das Marines aufforderte, Befehle zu verweigern und an der Seite der syrischen Armee zu kämpfen. Etwa 3.500 potenzielle Besucher sahen dieses Bild statt der Rekrutierungsinhalte. Zweimal versuchte er zudem, Social-Media-Konten des Weißen Hauses zu übernehmen, indem er E-Mail-Passwörter von Mitarbeitern stahl. Einmal gelangte er in ein Mitarbeiterpostfach, scheiterte aber daran, weitere Beschäftigte zur Herausgabe von Zugängen zu bewegen. Die FBI-Erklärung beschreibt einen Einbruch in das private E-Mail-Konto eines Mitarbeiters des Weißen Hauses im Juli 2013 und hält fest, dass kein offizielles Konto des Weißen Hauses kompromittiert wurde.
Viele Geschädigte gaben laut vom Ministerium angeführten Gerichtsunterlagen erhebliche Summen für Bereinigung und Sicherheitsverbesserungen aus. Ein Unternehmen, das Online-Verlage mit Inhalten, Werbung und Links beliefert, verlor rund ein halbes Jahr lang etwa 35.000 Dollar pro Tag. Eine global tätige gemeinnützige Organisation büßte 480.000 Dollar ein, darunter rund 250.000 Dollar für neue Werkzeuge zur Netzwerküberwachung, und musste mehr als 800 Beschäftigte nachschulen.
Angeklagt wurde Agha erstmals im Juni 2014; die Anklageschrift blieb bis März 2016 unter Verschluss. In diesem Monat setzte das FBI ihn und den Mitangeklagten Firas Dardar auf seine Liste „Cyber’s Most Wanted" und lobte 100.000 Dollar Belohnung aus. Eine Grand Jury erhob im Mai 2018 Anklage gegen beide. Im Dezember 2025 wurde bekannt, dass Agha sich in US-Gewahrsam befand und im Monat zuvor vor einem Bundesgericht erschienen war. Dardar ist weiterhin flüchtig. Er wurde außerdem in einem separaten Verfahren gemeinsam mit Peter Romar angeklagt, einem damals in Deutschland lebenden syrischen Staatsbürger; Romar wurde an die USA ausgeliefert und bekannte sich 2016 schuldig.
Drei frühere öffentliche Dokumente des Falls — die FBI-Erklärung von 2014, die Mitteilung des Justizministeriums zur Anklage vom März 2016 und die Mitteilung zur Anklageerhebung vom Mai 2018 — beschreiben keine syrischen Amtsträger als Organisatoren oder Anführer der Gruppe. In der Mitteilung von 2016 hieß es, die Gruppe habe „zur Unterstützung" der syrischen Regierung gehandelt. Eine frühe Untersuchung der Gruppe, veröffentlicht von der OpenNet Initiative, fand keine glaubwürdigen Belege für eine direkte Verbindung der Angreifer zur syrischen Regierung über die stillschweigende Duldung hinaus, die eine solche Gruppe zum Betrieb in syrischen Netzen benötigt.