Злоумышленники проникли в корпоративную сеть через эксплойт и хозяйничали там целый месяц на правах администратора домена Active Directory. Доступ к нужному аккаунту они получили, воспользовавшись отсутствием контроля: владелец этой учетной записи умер за три месяца до атаки. Вторжение было обнаружено, когда в сети заработал шифровальщик Nefilim — за короткий срок он сумел поразить более сотни систем.