O
Да и вы же понимаете, что заразит ьхост какого-нить юзера Эмотетом - это еще не зашифровать весь энтерпрйз
учитывая примерную аналитику этого малвари то там было очень долгая работа в инфраструктуре
Запутанный сценарий PowerShell выполняется и подключается к удаленному IP-адресу.
Обратная оболочка загружается и выполняется на скомпрометированном хосте.
Сценарии анти-журналирования PowerShell выполняются на хосте.
Разведка сети проводится с использованием стандартных инструментов командной строки Windows вместе с внешними загруженными инструментами.
Боковое перемещение по сети осуществляется с помощью протокола удаленного рабочего стола (RDP).
Сервисные учетные записи пользователей созданы.
PowerShell Empire загружается и устанавливается как сервис.
Боковое перемещение продолжается до тех пор, пока не будут восстановлены привилегии для получения доступа к контроллеру домена.
PSEXEC используется для передачи бинарного файла Ryuk отдельным хостам.
Пакетные сценарии выполняются для завершения процессов / служб и удаления резервных копий, после чего следует двоичный файл Ryuk.
