evasão metódica de indicadores compartilhados para os hosts comprometidos e inserção de implantes DLL Cobalt Strike personalizados em cada máquina;
camuflagem e incorporação no ambiente por meio de renomeações de ferramentas e binários para combinar arquivos e programas no dispositivo infectado;
desativação dos registros de eventos (por meio do Auditpol) antes das atividades maliciosas e sua ativação, posteriormente, para não levantar suspeitas;
criação de regras de firewall para minimizar pacotes de saída em determinados protocolos antes de executar atividades de enumeração de rede;