当怀疑感染时，微软警告受影响的组织必须立即隔离可疑端点，追踪启动进程树，并在整个网络中搜索对可疑基础设施的重复轮询。由于可能会发生凭据和会话盗用，响应人员应评估身份风险，撤销会话，并限制高风险 SaaS 操作，以在调查期间限制暴露。