Delay all containment until real-world attribution is confirmed / Відкласти всі обмеження до підтвердження реальної атрибуції

Coordinate early with the operator, SOC/CSIRT, law enforcement, and prosecutors as needed / За потреби, завчасно координувати дії з оператором, SOC/CSIRT, правоохоронними органами та прокурорами.

Preserve initial indicators, timestamps, and source references / Зберегти початкові індикатори, позначки часу та посилання на джерела

Validate the public claim against victim telemetry and operator observations / Підтвердити публічну заяву проти телеметрії жертви та спостережень оператора

Treat the public claim as proof of full process compromise / Розглянути публічну заяву як доказ повного компрометування процесу