По возможности анализируйте вредоносное ПО на наличие в нем особенностей, которые могут быть связаны с его поставщиками, — например, используемый компилятор, отладочные артефакты, сходства в коде или даже групповые идентификаторы, связанные с конкретными предложениями MaaS (malware as a service). Кроме того, можно использовать репозитории вредоносного ПО для обнаружения дополнительных образцов, связанных с этими разработчиками и злоумышленниками, которые пользуются их услугами. Совпадения в способах использования вредоносных программ различными злоумышленниками могут указывать на то, что эти программы были куплены злоумышленниками, а не разработаны ими самостоятельно. В некоторых случаях наличие совпадающих характеристик у вредоносных программ, используемых разными злоумышленниками, может указывать на общего куратора.

Отслеживайте контекстные данные полезной нагрузки, такие как время компиляции, хеши файлов, а также "водяные знаки" или другую идентифицируемую информацию о конфигурации. Многие действия злоумышленников происходят за пределами видимости атакуемой организации, что усложняет обнаружение. Усилия по обнаружению имеет смысл сосредоточить на этапах деятельности злоумышленников после компрометации.

От этой техники нельзя легко защититься с помощью превентивных мер контроля, поскольку она основана на поведении, осуществляемом вне рамок корпоративных средств защиты и контроля.