XML（STIX/CybOX形式）には、電子メールベースの脅威指標の詳細が記述されています。具体的には以下のとおりです。
* 電子メール アドレスに「@state.gov」が含まれています (完全一致ではないため、すべての @state.gov をブロックするのは範囲が広すぎます)。
* 添付ファイルは、指定された MD5 ハッシュ (cf2b3ad32a8a4cfb05e9dfc45875bd70) を持つ PDF ファイルです。
* 添付ファイルのサイズは87022バイトです。
脅威軽減の観点から:
* 正解です: 悪意のあるハッシュに一致するファイルをブロックまたはフラグ付けするように AV を更新するのは標準的な対応です。
* 不正解: 電子メール アドレスのコンテキストとハッシュを組み合わせることで、ブロックするための正確なルールが提供され、誤検知を防ぐことができます。
誤ったオプション:
* 脅威のコンテキストを確認せずにドメイン全体をブロックすることで、オーバーリーチを実行します。
* すべての PDF を停止することになるため、非現実的です。
* は誤りです。件名にハッシュが表示されることはありません。

復旧フェーズでは、影響を受けたシステムを通常の運用に復旧し、脅威が完全に根絶されたことを確認することが目標です。Cyber​​Ops Associateガイドによると、以下の通りです。
「このフェーズには、クリーンなバックアップからのデータの復元、侵害されたシステムの交換、オペレーティング システム (OS) とアプリケーションの再インストールが含まれる場合があります」。
また：
「リカバリ中に、更新されたウイルス対策ソフトウェアを使用してホストをスキャンし、脆弱性を削除することで、システムが再感染しないようにします」。

参照：
+分析&hl=en&as_sdt=0&as_vis=1&oi=scholart

マジックナンバー (マジックバイトとも呼ばれる) は、ファイルの形式を識別するために使用されるバイトのシーケンスです。
PDF ファイルの場合、標準のマジック ナンバーは次のとおりです。
25 50 44 46 はASCIIコードで%PDFと解釈されます。OptionC(255044462d)は25 50 44 46で始まっており、PDFファイルの署名であることが確認できます。これは、難読化または名前変更された可能性のあるファイルのファイル種別識別と検証を行う際に、重要なフォレンジック情報となります。