該組織選擇了一種在行業(yè)中不常見的做法：針對被初步感染、資金實力雄厚的目標，選擇性地植入惡意加密軟件。這不同于用勒索軟件感染所有可能受害者的常見策略。
兩份報告都顯示，該組織使用被稱作“Ryuk”的勒索軟件感染大企業(yè)。而在此之前幾天、幾周，甚至一年，這些目標大多就已經(jīng)被感染了一種被稱作Trickbot的木馬。相比而言，小企業(yè)在感染Trickbot之后很少會再遭到Ryuk的攻擊。CrowdStrike表示，這種方法是“尋找大目標”，而自去年8月以來，其運作者已經(jīng)在52筆交易中收入了370萬美元的比特幣。
除了精準定位目標之外，這種方式還有其他好處：存在“駐留時間”，即從初始感染到安裝勒索軟件之間的一段時間。這讓攻擊者有時間對被感染網(wǎng)絡進行分析，從而確定網(wǎng)絡中最關鍵的系統(tǒng)，并獲取感染這些系統(tǒng)的密碼，隨后才釋放勒索軟件，從而最大限度地造成損害。
