-=TWELVE=- が戻ってきました from securelist.com

攻撃者がドメイン アカウントおよびユーザー グループにアクセスするために Web シェルを使用したことが判明しました。
攻撃者はまた、PowerShell コマンドを使用してログ ファイルを削除し、任意のコマンドを実行しました。
これには、被害者のシステムからファイルを削除したり、リモート接続を通じてファイルに付与されたアクセス許可を変更したりすることが含まれます。
注目すべきことに、この攻撃は 2018 年 4 月に実行されたにもかかわらず、今も活動中です。