Threat Hunting Case Study: Looking for Volt Typhoon

As shown in the chart, Volt Typhoon and other threat actor groups often use the WMI command-line (WMIC) utility — a command-line interface for Windows Management Instrumentation (WMI), which is used for managing computers and servers as well as network discovery. Adversaries find it useful for the same purposes. They're trying to get into your environment, figure out what exists and what they can use to their advantage. The third command script in the chart shows the attackers tried one time to use the “wmic” command but misspelled it to “wminc.” Threat actors often make mistakes, and these can be useful clues. A hunt for the misspelled command may yield an event worth investigating (it would also be necessary to determine if the misspelled command was entered by an authorized user, which would indicate a false positive). These command-line arguments and technical indicators are useful to conduct threat hunts.​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‌‍‌‍​‌​‌​‍‌​‌​‍‌‌​‌‌‌‍‍‌‌‌‍‍‌‌​‌‌‍‍‌​‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‍‌‌‌‍‍‌‍‍‍‌‌‌‌​‌‍‌‍​‌‍‍‌​‌‌‌​​‌‌​‍‌‌‌‌‌​​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌‌‌‌‍​‌‍​‌​‍‌‌‌‍‍‌​​‍‌‍‍‍‌​‌‌‌‌‌​‌‌‌‌‌​​‌‍​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‌‍‌‍​‌​‌​‍‌​‌​‍‌‌​‌‌‌‍‍‌‌‌‍‍‌‌​‌‌‍‍‌​‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‍‌‌‌‍‍‌‍‍‍‌‌‌‌​‌‍‌‍​‌‍‍‌​‌‌‌​​‌‌​‍‌‌‌‌‌​​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌‌‌‌‍​‌‍​‌​‍‌‌‌‍‍‌​​‍‌‍‍‍‌​‌‌‌‌‌​‌‌‌‌‌​​‌‍​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌

The advisory also contains indicators of compromise (IoCs) that are lower down on the Pyramid of Pain, which is the model of indicators that illustrates the relative difficulty threat actors have in changing them in order to evade detection. TTPs are at the top, while domain names, IPs and hash values are further down. The advisory contains these IoCs in Appendix B, which starts on page 36. Here is an excerpt:​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‌‍‌‍​‌​‌​‍‌​‌​‍‌‌​‌‌‌‍‍‌‌‌‍‍‌‌​‌‌‍‍‌​‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌‍​‌​‍‌‍‍​‌‌‌​‌‌‍‌‌‌‌‌‌​‌‍‍‌‍‍‌‌​‌​​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‍‌​‌‍‌‍‌‌​‍‍‌‍‍‌‌‍‌‌‌‌​‌‌‍​‌‌‌‍​‌‍‌‌‍​‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‌‍‌‍​‌​‌​‍‌​‌​‍‌‌​‌‌‌‍‍‌‌‌‍‍‌‌​‌‌‍‍‌​‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌‍​‌​‍‌‍‍​‌‌‌​‌‌‍‌‌‌‌‌‌​‌‍‍‌‍‍‌‌​‌​​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‍‌​‌‍‌‍‌‌​‍‍‌‍‍‌‌‍‌‌‌‌​‌‌‍​‌‌‌‍​‌‍‌‌‍​‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌

If we think we have been attacked by Volt Typhoon, we can take the MD5 or SHA256 hashes of “brightmetricagent.exe” and search in our environment. IoCs such as hashes can be quick wins if a search results in a hit. They provide a quick answer to the question: “Do we see this in our environment?” But a negative hunt should not necessarily provide assurances. Threat actors frequently use crypters or packers to repack malicious code and tools, which means the lack of a detection on a single hash is no consolation. Searching for these kinds of indicators is necessary, of course. But hunting for behavior-related activity is a way to detect threat actors regardless of how their malware has been manipulated to evade signatures. To be more proactive, it’s better to focus on commands, LOTL binaries and command-line arguments that come with malicious activity.​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‌‌‍​‌​​‌‌‌‍‍‍‌‌‌‌​​‌​‍‌‍‌‍‌‍‌‌‌‍​‌‍‌​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍​‍‌‌​​​‍​​‍‌‌​‌‌‍‍‍‌​‌‌‍‍​‌‌‌‌‍‌​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‌‌‍​‌​​‌‌‌‍‍‍‌‌‌‌​​‌​‍‌‍‌‍‌‍‌‌‌‍​‌‍‌​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍​‍‌‌​​​‍​​‍‌‌​‌‌‍‍‍‌​‌‌‍‍​‌‌‌‌‍‌​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌

Appendix C of CISA’s report contains a catalog of Volt Typhoon behaviors mapped to MITRE ATT&CK. Many of these techniques are seen across different threat groups, such as ​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‍‌‍‍‌‍‍‌‌‌‌‌​‌​‌‍‌‌​‍‍‌‍‌‌‌‌‍‌​‌‍‌‍​‌​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‌‍‌‌‍‌‌​​‌‍‌‌‍‌‌​‌‌‌‍‌‍​‌​‌‌​‌‌‌‍‌​‌‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‍‌‍‍‌‍‍‌‌‌‌‌​‌​‌‍‌‌​‍‍‌‍‌‌‌‌‍‌​‌‍‌‍​‌​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‌‍‌‌‍‌‌​​‌‍‌‌‍‌‌​‌‌‌‍‌‍​‌​‌‌​‌‌‌‍‌​‌‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌T1592​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‍‌‍‍‌‍‍‌‌‌‌‌​‌​‌‍‌‌​‍‍‌‍‌‌‌‌‍‌​‌‍‌‍​‌​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍‌​‍‌‌‌‌‌‌‌‌‌‌‌‍‌​‌‌‌​‍​​‌​​‌​‌​‍​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‍‌‍‍‌‍‍‌‌‌‌‌​‌​‌‍‌‌​‍‍‌‍‌‌‌‌‍‌​‌‍‌‍​‌​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍‌​‍‌‌‌‌‌‌‌‌‌‌‌‍‌​‌‌‌​‍​​‌​​‌​‌​‍​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌, which is Gather Victim Host Information. It is possible to narrow down distinguishing features of a particular attack to formulate a better hypothesis about who the attacker may be. For example, we see that Volt Typhoon uses the Command and Scripting Interpreter technique (​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‍‌‍‍‌‍‍‌‌‌‌‌​‌​‌‍‌‌​‍‍‌‍‌‌‌‌‍‌​‌‍‌‍​‌​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌‍‌‌‌‍‌‍‍‌‍‍‌‌​​​‌​‌‌‌​‌‍‍‌‍​‍‌‍‌‍‌​​‍​‌‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‍‌‍‍‌‍‍‌‌‌‌‌​‌​‌‍‌‌​‍‍‌‍‌‌‌‌‍‌​‌‍‌‍​‌​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌‍‌‌‌‍‌‍‍‌‍‍‌‌​​​‌​‌‌‌​‌‍‍‌‍​‍‌‍‌‍‌​​‍​‌‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌T1059​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‍‌‍‍‌‍‍‌‌‌‌‌​‌​‌‍‌‌​‍‍‌‍‌‌‌‌‍‌​‌‍‌‍​‌​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍‌‌‌​​‌‌‌‍​‌‍​‍‌​‍​‌​‌​‌‌‌‌‌​​‌‌‌​‍​‌​‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‍‌‍‍‌‍‍‌‌‌‌‌​‌​‌‍‌‌​‍‍‌‍‌‌‌‌‍‌​‌‍‌‍​‌​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍‌‌‌​​‌‌‌‍​‌‍​‍‌​‍​‌​‌​‌‌‌‌‌​​‌‌‌​‍​‌​‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌) which involves manually entering PowerShell commands. Volt Typhoon also uses the same technique with the Unix shell. By picking different tactics or columns — such as valid accounts, exploitation or privilege escalation — it’s possible to paint a better picture.​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‍‌‍‍‌‍‍‌‌‌‌‌​‌​‌‍‌‌​‍‍‌‍‌‌‌‌‍‌​‌‍‌‍​‌​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​​‌‍‌‌​​‌‌‌​‌‍​‌‌​‍​‌​‌‌‌‌‌‌​​‍‌‍​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‍‌‍‍‌‍‍‌‌‌‌‌​‌​‌‍‌‌​‍‍‌‍‌‌‌‌‍‌​‌‍‌‍​‌​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​​‌‍‌‌​​‌‌‌​‌‍​‌‌​‍​‌​‌‌‌‌‌‌​​‍‌‍​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌

If a threat hunt results in, say, five techniques that align with what Volt Typhoon uses, that could be a starting point for other hunts focused on other techniques that could be correlated to the same advanced persistent threat (APT) group. It’s not always going to be easy, and it takes some time, but that is the eventual goal. Another source for TTPs is MITRE ATT&CK, which has a ​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‍‍‌‍‌‌‌‌​‍‌‌​‍‌​‍‌‌‍‍‌​‌‌‍​‌‌​‍‌‌‍‌‌​​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​​‌‌‍‌​‌‌​​‌‌‌‍​‌‌‌​‍‌‌‍​‌​​​​​‌‌‍‌‌‌​‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‍‍‌‍‌‌‌‌​‍‌‌​‍‌​‍‌‌‍‍‌​‌‌‍​‌‌​‍‌‌‍‌‌​​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​​‌‌‍‌​‌‌​​‌‌‌‍​‌‌‌​‍‌‌‍​‌​​​​​‌‌‍‌‌‌​‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌list of threat groups​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‍‍‌‍‌‌‌‌​‍‌‌​‍‌​‍‌‌‍‍‌​‌‌‍​‌‌​‍‌‌‍‌‌​​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍‍‌​‍​‌‍‍‌‍‍‌‌‍​‍‌​‌​‌‍​‌‌​‌‌‍‌‌​‌‍‍​‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‍‍‌‍‌‌‌‌​‍‌‌​‍‌​‍‌‌‍‍‌​‌‌‍​‌‌​‍‌‌‍‌‌​​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍‍‌​‍​‌‍‍‌‍‍‌‌‍​‍‌​‌​‌‍​‌‌​‌‌‍‌‌​‌‍‍​‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌ along with TTPs associated with their activity. An analyst can then compare the TTPs in CISA’s report with MITRE ATT&CK, noting what has changed or what has stayed the same. This can aid in prioritizing what to threat hunt. If certain recent TTPs have been used in the majority of attacks, then those are the ones that could be prioritized in a hunt plan.​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‍‍‌‍‌‌‌‌​‍‌‌​‍‌​‍‌‌‍‍‌​‌‌‍​‌‌​‍‌‌‍‌‌​​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‌​‌​‍​‌​​‍‌​‌​‌‌‌​‌‌‌‌‌​‍​‌‍​‌​‌‌​​‍‌​‍​‌‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‍‍‌‍‌‌‌‌​‍‌‌​‍‌​‍‌‌‍‍‌​‌‌‍​‌‌​‍‌‌‍‌‌​​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‌​‌​‍​‌​​‍‌​‌​‌‌‌​‌‌‌‌‌​‍​‌‍​‌​‌‌​​‍‌​‍​‌‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌

Intel 471 has created a Volt Typhoon hunt package collection, which is drawn from the threat intelligence reports that have been written about this group:​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‍‍‌‌‌‍‌‌​‍‌‌‍​​‍‌‌‍‍‌‍​​‌​‌‌‌​​​‌‍​‌‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‌‌​‌‌‌‌‌​‍‌​​‌‌‍​​​‍‌‌‍‌‌‌​‌​‍‌‌​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‍‍‌‌‌‍‌‌​‍‌‌‍​​‍‌‌‍‍‌‍​​‌​‌‌‌​​​‌‍​‌‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‌‌​‌‌‌‌‌​‍‌​​‌‌‍​​​‍‌‌‍‌‌‌​‌​‍‌‌​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌
​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‍‍‌‌‌‍‌‌​‍‌‌‍​​‍‌‌‍‍‌‍​​‌​‌‌‌​​​‌‍​‌‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍​‌‌‌​​‌‍‌​​‌‍‍​‍‌‌‌​‌‌​​‌‍‌‍​‍‌‌‌​‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍​‌‌‌‍‍‌‍‍‌‌​‌​​​‍‌‌‌‌​‌​‌​‍‍‌‍‌‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‍‍‌‌‌‍‌‌​‍‌‌‍​​‍‌‌‍‍‌‍​​‌​‌‌‌​​​‌‍​‌‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍​‌‌‌​​‌‍‌​​‌‍‍​‍‌‌‌​‌‌​​‌‍‌‍​‍‌‌‌​‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌

It isn’t an exhaustive list but covers the behaviors repeatedly used by the group. For example, one hunt package is “WMIC Windows Internal Discovery and Enumeration.” The overview describes the hunt’s goal: “This will identify the potentially malicious use of WMI (Windows Management Interface) utilized for local enumeration and discovery of a host.” The package contains pre-written threat hunt queries written in the comformant query language for a variety of SIEM and logging systems, including CarbonBlack Cloud - Investigate, CarbonBlack Response, CrowdStrike, Elastic, Microsoft Defender and Sentinel, Palo Alto Cortex XDR, QRadar Query, SentinelOne, Splunk and Trend Micro Vision One.​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍‍‌‍‌​‌‌​‌‍‌​​‍​‌​‌​‌​‌​‌‌‌​​‌‌‌‌​​‌‌‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍​‍​​‌​​‍‌‌‌​‌‌‌​​‌​‌‍‍‍​‌‌‌‍‌‍‌‌​​​​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍‌‌‍​​‌‌​​‍‌​​‌‌‌​​‌‍‍‍‌​‌​​‌‌​‌‌​‍‌‌‌​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍‍‌‍‌​‌‌​‌‍‌​​‍​‌​‌​‌​‌​‌‌‌​​‌‌‌‌​​‌‌‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍​‍​​‌​​‍‌‌‌​‌‌‌​​‌​‌‍‍‍​‌‌‌‍‌‍‌‌​​​​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍‌‌‍​​‌‌​​‍‌​​‌‌‌​​‌‍‍‍‌​‌​​‌‌​‌‌​‍‌‌‌​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌

Above is a query to search Splunk for endpoints running Windows System Monitor, known as sysmon. The query contains query logic that looks for the different WMIC parameters that can be used to discover information about machines on the network. The query is also written for activity that might indicate an adversary is using automation instead of hands-on-keyboard. The query is looking for several times of WMIC commands that have been running in under two minutes. The reason is that if the query is run without a time limit parameter, it is more likely to collect legitimate activity. Splunk also accommodates the where command, so the query has also been set to only trigger if the number of WMIC commands entered exceeds two queries within two minutes. The goal is to try and reduce as many false positives but at the same time leave enough wiggle room to catch malicious activity. If the query returns hits, the next step is to verify that those results match the query logic. In Splunk’s results, we see events that match the WMIC commands “get,” “path” and “list” from two different time frames and two different hosts.​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍​‌​‍​‌​‌​​​‌​‌‌‌‌​‍​‌‌‌​​‌‍‌‍‌​​​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‌​‍‌​‍‌‌‍‍‌‌​‍‌​‍‌​​‌‌‌​‌‍‌​‌‌‌‍​‌‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​​‌‍‌‍‌‍‍‌‍​‍‌‍‍‌​‍‍‌‌‍‍‌‍‌‌‌‌​​‌‌‌​‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍​‌​‍​‌​‌​​​‌​‌‌‌‌​‍​‌‌‌​​‌‍‌‍‌​​​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‌​‍‌​‍‌‌‍‍‌‌​‍‌​‍‌​​‌‌‌​‌‍‌​‌‌‌‍​‌‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​​‌‍‌‍‌‍‍‌‍​‍‌‍‍‌​‍‍‌‌‍‍‌‍‌‌‌‌​​‌‌‌​‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌

There are ways to dig deeper. For example, the time bucket can be lengthened. It’s possible to follow the parent process as well. ​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​‍​‌​‌​‍‌‌‍‍​‌‌‌​‍‌‌​‌‍‍‌​‌​​‌‌​​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‌‌​‍‌‍‍​​​‌‌‍‍‌‍‌‍​‍‌‌​​‌​‌‍‌‌‍‌‌​‌​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‌‌‌‌‌‌‌​​‍‌‌​‌‌‍‍‌‌​‌‌‌‌‌‌‍‌‌‌‍​‌‌‌​‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​‍​‌​‌​‍‌‌‍‍​‌‌‌​‍‌‌​‌‍‍‌​‌​​‌‌​​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‌‌​‍‌‍‍​​​‌‌‍‍‌‍‌‍​‍‌‌​​‌​‌‍‌‌‍‌‌​‌​​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‌‌‌‌‌‌‌​​‍‌‌​‌‌‍‍‌‌​‌‌‌‌‌‌‍‌‌‌‍​‌‌‌​‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌

Having a pre-written, validated hunt query ready to go allows analysts to save research time and time spent writing queries. Instead, they can progress deeper into an investigation and uncover if an adversary is inside an environment. Then, the intruder can be removed before an incident escalates. ​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​‍​‌​‌​‍‌‌‍‍​‌‌‌​‍‌‌​‌‍‍‌​‌​​‌‌​​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​​‍‌‍‌‍‍‌​‍​‌‍‍‌​​‍​‌‌‍‌‍‌‍​‌​‍​‌‍​‌​‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍​‌‌‍‍​‌‍​‌‌‍‍​​‌‌​‌‍‌‌​​‌‌‍‌‍‌​‍‌‌‌‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​‍​‌​‌​‍‌‌‍‍​‌‌‌​‍‌‌​‌‍‍‌​‌​​‌‌​​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​​‍‌‍‌‍‍‌​‍​‌‍‍‌​​‍​‌‌‍‌‍‌‍​‌​‍​‌‍​‌​‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍​‌‌‍‍​‌‍​‌‌‍‍​​‌‌​‌‍‌‌​​‌‌‍‌‍‌​‍‌‌‌‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌

This guide to Volt Typhoon threat hunting is also available on video ​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​‍​‌​‌​‍‌‌‍‍​‌‌‌​‍‌‌​‌‍‍‌​‌​​‌‌​​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‌‌‌‍‌‌‍​‍‌‍‌‌‍‌‌‌​‌​‍‌‍​‌‌‍‍‌​‍​​​‌‍​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‌​‌‌​‌‌‌​‍‌‌‌​‍‌‍​‍‌‍​‌‌‌​​‍‌​‌‌​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​‍​‌​‌​‍‌‌‍‍​‌‌‌​‍‌‌​‌‍‍‌​‌​​‌‌​​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‌‌‌‍‌‌‍​‍‌‍‌‌‍‌‌‌​‌​‍‌‍​‌‌‍‍‌​‍​​​‌‍​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‍‌​‌‌​‌‌‌​‍‌‌‌​‍‌‍​‍‌‍​‌‌‌​​‍‌​‌‌​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌here.​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​‍​‌​‌​‍‌‌‍‍​‌‌‌​‍‌‌​‌‍‍‌​‌​​‌‌​​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‌‌‌‍‌‌‍​‍‌‍‌‌‍‌‌‌​‌​‍‌‍​‌‌‍‍‌​‍​​​‌‍​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍‌‌​‌‍‌​‍​‌‌‌‍‌​‍‌‌‌‌​‌‌​‌​‌‌‌​‌‌‌​​‍‌‍​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​‍​‌​‌​‍‌‌‍‍​‌‌‌​‍‌‌​‌‍‍‌​‌​​‌‌​​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‌‌‌‍‌‌‍​‍‌‍‌‌‍‌‌‌​‌​‍‌‍​‌‌‍‍‌​‍​​​‌‍​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍‌‌​‌‍‌​‍​‌‌‌‍‌​‍‌‌‌‌​‌‌​‌​‌‌‌​‌‌‌​​‍‌‍​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌ Also, ​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​‍​‌​‌​‍‌‌‍‍​‌‌‌​‍‌‌​‌‍‍‌​‌​​‌‌​​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‌‌‌‍‌‌‍​‍‌‍‌‌‍‌‌‌​‌​‍‌‍​‌‌‍‍‌​‍​​​‌‍​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​​‌‍‍‌‌‌‌​‌‌​‌​‌​‌‌‍‍‌‌​​‌‍​‌‌​‌​​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​‍​‌​‌​‍‌‌‍‍​‌‌‌​‍‌‌​‌‍‍‌​‌​​‌‌​​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‌‌‌‍‌‌‍​‍‌‍‌‌‍‌‌‌​‌​‍‌‍​‌‌‍‍‌​‍​​​‌‍​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​​‌‍‍‌‌‌‌​‌‌​‌​‌​‌‌‍‍‌‌​​‌‍​‌‌​‌​​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌register​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​‍​‌​‌​‍‌‌‍‍​‌‌‌​‍‌‌​‌‍‍‌​‌​​‌‌​​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‌‌‌‍‌‌‍​‍‌‍‌‌‍‌‌‌​‌​‍‌‍​‌‌‍‍‌​‍​​​‌‍​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌‌‍‌‌‍‌‌‌​‍‌‍‌‌​‍‌‌‌​‌‌‌‍​​​‍‌‌‌‌‌‍‌‍‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​‍​‌​‌​‍‌‌‍‍​‌‌‌​‍‌‌​‌‍‍‌​‌​​‌‌​​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‌‌‌‍‌‌‍​‍‌‍‌‌‍‌‌‌​‌​‍‌‍​‌‌‍‍‌​‍​​​‌‍​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌‌‍‌‌‍‌‌‌​‍‌‍‌‌​‍‌‌‌​‌‌‌‍​​​‍‌‌‌‌‌‍‌‍‌‌‌‌‍‍​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌ for the Community Edition of our threat hunting platform, HUNTER471, where a number of free sample threat hunts are available. Stay safe and happy hunting!​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​‍​‌​‌​‍‌‌‍‍​‌‌‌​‍‌‌​‌‍‍‌​‌​​‌‌​​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‌‌‌‍‌‌‍​‍‌‍‌‌‍‌‌‌​‌​‍‌‍​‌‌‍‍‌​‍​​​‌‍​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍‌‌‍​​‌‌‍​‌‌‌‌‍​‍‌‍‌‍‌‌​‌‌​‍‌‍‌‌‍‌‌‌‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​‍​‌​‌​‍‌‌‍‍​‌‌‌​‍‌‌​‌‍‍‌​‌​​‌‌​​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‌‌‌‍‌‌‍​‍‌‍‌‌‍‌‌‌​‌​‍‌‍​‌‌‍‍‌​‍​​​‌‍​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌​‍‌‌‍​​‌‌‍​‌‌‌‌‍​‍‌‍‌‍‌‌​‌‌​‍‌‍‌‌‍‌‌‌‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌
​​​​‌‍​‍​‍‌‍‌​‍‌‍‍‌‌‍‌‌‍‍‌‌‍‍​‍​‍​‍‍​‍​‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌‍‍‌‌‍​‍​‍​‍​​‍​‍‌‍‍​‌​‍‌‍‌‌‌‍‌‍​‍​‍​‍‍​‍​‍‌‍‍​‌‌​‌‌​‌​​‌​​‍‍​‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍‍‌‌​​‍‌‍‌‌‌‍‌​‌‍‍‌‌‌​​‍‌‍‌‌‍‌‍‌​‌‍‌‌​‌‌​​‌​‍‌‍‌‌‌​‌‍‌‌‌‍‍‌‌​‌‍​‌‌‌​‌‍‍‌‌‍‌‍‍​‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​‍​‌​‌​‍‌‌‍‍​‌‌‌​‍‌‌​‌‍‍‌​‌​​‌‌​​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‌‌‌‍‌‌‍​‍‌‍‌‌‍‌‌‌​‌​‍‌‍​‌‌‍‍‌​‍​​​‌‍​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​​​‌​‍‌​​‌​​‍​‍‌‌‌‌​‌​‌‌‌​‌​‌​​‌‍​‌‌‌​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‌‍​‍‌‍​‌‌​‌‍‌‌‌‌‌‌‌​‍‌‍​​‌‌‍‍​‌‌​‌‌​‌​​‌​​‍‌‌​​‌​​‌​‍‌‌​​‍‌​‌‍​‍‌‌​​‍‌​‌‍‌‍‍‌‌‍‍‌‌​‌‍‌‌‌‍​​‌​​‌​​‌​‍‍‌​‌‍​‌‌‍‍‌‍‍‌‌‌​‌‍‌​‍‍‌​‌‌​‌‌‌‌‍‌​‌‍‍‌‌‍​‍‌‍‌‍‍‌‌‍‌​​‌​​‍‌‍‍​​‌‌‍‌​‌​​‌‌‌​‌​‌​‌​‌​‌‌‌‍​‍​‌​‌‌‌‍‍‌‍‌‌‍​‌‍​‌‍‌‌‌‍‌‍‌‌‌‍‌​‍‌‌‌​​​‍‌‍‌‌​‌‍‌‌​​‌‍‌‌​‌‌‍​‍‌‍​‌‍‌‍‌​‍‌‍‌​​‌‍​‌‌‌​‌‍‍​​‌‌​​‌‍​‌‌‍‌‌‍‌‌‌​​‍‌‌‌‌‍‍‌‌‍​‌‍‌​‌‍‌‌‌​‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍‌‌​‍​‌​‌​‍‌‌‍‍​‌‌‌​‍‌‌​‌‍‍‌​‌​​‌‌​​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌​‍‌‍‍‌‌‍​‌‍‍​‌‌‌​‌‍‌‌‌‍​‌‌​​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​‌‌‌‍‌‌‍​‍‌‍‌‌‍‌‌‌​‌​‍‌‍​‌‌‍‍‌​‍​​​‌‍​‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‍​‌‍‍​‌‍‍‌‌‍​‌‍‌​‌​‍‌‍‌‌‌‍‍​‍‌‌​‌‌‌​​‍‌‌‌‍‍‌‍‌‌‌‍‌​‍‌‌​​‌​‌​​‍‌‌​​‌​‌​​‍‌‌​​‍​​‍​​​‌​‍‌​​‌​​‍​‍‌‌‌‌​‌​‌‌‌​‌​‌​​‌‍​‌‌‌​‌‍‍‌​‍‌‌​​‍​​‍​‍‌‌​‌‌‌​‌​​‍‍‌‌​‌‍‌‌‌‍​‌‌​​‍‌‍‌​​‌‍‌‌‌​‍‌​‌​​‌‍‌‌‌‍​‌‌​‌‍‍‌‌‌‍‌‍‌‌​‌‌​​‌‌‌‌‍​‍‌‍​‌‍‍‌‌​‌‍‍​‌‍‌‌‌‍‌​​‍​‍‌‌